Hacker News · AI 讨论· pranshuchittora·· 25 天前精选AI 评分74
LiteLLM 1.107.0 遭供应链投毒，窃取云凭证与 AI 密钥
LiteLLM Compromised to Steal Cloud and AI Credentials
AI 导读
Socket 研究团队披露 LiteLLM 1.107.0 在 PyPI 和 Docker 上遭供应链攻击，恶意 Python 启动钩子会窃取云凭证、私钥、浏览器数据和 Codex、Claude、Gemini、Cursor 等 AI 工具的认证文件。
借鉴点
能拿走的是排查清单，包括 cook.pth 启动钩子、/healthcheck 外传地址和镜像 digest 固定；本地模型部署和 CI 发布流程可据此自查，代价是要逐个环境翻 Python 启动文件和浮动 tag。
来源：Hacker News · AI 讨论 · socket.dev