LiteLLM主密钥泄露导致恶意版本发布

LiteLLM 披露，Agent Platform 主密钥在 2026 年 5 月被意外发布到公开 GitHub 仓库且未及时吊销，攻击者借此取得 GitHub CLI OAuth 令牌并接管发布流程，向 PyPI 推送含恶意代码的 LiteLLM 1.107.0；PyPI 已将该版本隔离，项目方随后撤销了与内部系统及供应商平台有关的令牌。 LiteLLM 称，受影响令牌未缩小权限范围，并关联 GitHub 组织所有者的账户；为提高发布和修复频率，项目方一度放宽发布限制，允许两名工程师触发并批准发布。恶意启动文件位于应用目录之外，因此仅删除应用文件可能无法清除相关组件。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。