慢霧：LiteLLM發生PyPI供應鏈攻擊，植入的惡意文件可竊取加密錢包等敏感信息

攻擊細節與影響範圍

PyPI 上的 LiteLLM 1.82.7 和 1.82.8 版本遭到了供應鏈攻擊，惡意文件被植入其中，導致所有透過 pip 安裝該版本的用戶面臨敏感資訊洩漏風險。

被竊取的敏感資訊

• SSH 密鑰
• 雲服務憑證（AWS/GCP/Azure）
• Kubernetes 設定
• Git 側證
• 環境變數（如 API 密鑰）
• Shell 歷史紀錄
• 加密錢包資訊
• 資料庫密碼

官方回應與建議

PyPI 官方已下架問題的 litellm 1.82.8 版本，並建議用戶立即檢查本地安裝的版本，以避免資訊被竊取。

相關來源

PyPI 供應鏈攻擊：litellm 1.82.8 包含憑證竊取惡意文件 – HyperAI

來源：https://www.panewslab.com/zh/articles/019d2264-8cdf-7062-a69c-06ceadf329c0