LiteLLM 泄露的 Agent Platform 主密钥被用于窃取 GitHub 令牌并劫持发布流程
Leaked LiteLLM Master Key Let Attackers Steal GitHub Tokens and Hijack Release Pipeline
AI 导读
LiteLLM 披露，公开仓库中泄露且未及时吊销的 Agent Platform 主密钥，被攻击者用于获取 GitHub CLI OAuth 令牌并接管发布流程。攻击者随后发布包含恶意代码的 LiteLLM 1.107.0，PyPI 已将其隔离；项目方正撤销与内部系统及供应商平台相关的令牌。
推荐理由
披露主密钥未及时吊销如何导致令牌泄露、发布流程被接管及恶意包植入，适合团队审视密钥轮换、发布审批和供应链防护。
来源：The Hacker News · thehackernews.com