IXThinker·2026-03-27 19:10

PyPI遭投毒 LiteLLM版本洩用戶憑證

Python軟件庫LiteLLM的兩個新版本被人惡意植入資訊竊取代碼，安裝後SSH密鑰、AWS憑證及API密鑰等敏感資料即時外洩。維護者已證實事件，PyPI在約三小時後下架相關版本。

事件經過

受影響的是LiteLLM的1.82.7與1.82.8兩個版本。惡意代碼在安裝時即觸發，竊取用戶的SSH密鑰、AWS憑證與各類API密鑰。由於該庫日均下載量約340萬次，不少設置自動安裝新版本的開發者可能已中招。