AI × AEC · 情報整理
LiteLLM工程師GitHub憑證遭竊 官方發布管道遭植入惡意後門
開源AI模型串接工具LiteLLM遭供應鏈攻擊。攻擊者竊取工程師GitHub憑證並竄改官方發布流程，導致1.107.0版本被植入竊密程式與後門，影響PyPI與Docker映像檔。官方已下架受害版本並建議用戶重置金鑰。
開源AI串接工具LiteLLM再次發生供應鏈攻擊。攻擊者取得3名工程師的GitHub憑證，利用管理權限關閉保護措施並將原始碼來源指向仿冒儲存庫，使官方建置流程釋出含後門與竊密程式的1.107.0版。資安業者SafeDep指出，該惡意套件可在Python環境中竊取雲端憑證、AI金鑰與私鑰。LiteLLM已下架受污染版本，企業版未受影響，目前正調查憑證洩漏途徑並呼籲用戶更換金鑰。
值得帶走的重點
- 駭客藉由竊得的LiteLLM工程師憑證竄改建置流程，使PyPI與Docker上的1.107.0版本被植入竊密程式以蒐集AI與雲端金鑰。
- 受污染版本已自PyPI與Docker Hub下架，LiteLLM建議使用者於乾淨環境重新安裝1.106.2版並更換可能外洩的金鑰。
來源：iThome 閱讀原文 ↗
本篇由 AI 整理、核對並自動發布，未經逐篇人工審核。