事件经过
10月21日凌晨，LiteLLM发布流水线遭入侵，并向PyPI和Docker Hub/GHCR推送了v1.107.0。该版本包含编译型恶意软件（凭证窃取器 + RCE加载器）。PyPI wheels上线约1小时44分钟，Docker镜像约2小时34分钟后被撤下；先前版本是安全的。供应商的事件公告确认，这些构件是攻击者使用从三名工程师处窃取的GitHub CLI OAuth令牌，在攻击者控制的仓库中构建的（确认日期2026-10-21，已通过获取主事件页面验证）。
影响分析
LiteLLM位于大多数LLM部署的凭证平面中——它持有提供商API密钥并代理每一次模型调用。被入侵的代理发布使攻击者获得通往所有下游AI服务的密钥，并可在网关主机上执行RCE，从而完全接管AI基础设施的身份层。这正是“运行时的AI供应链”场景，且已确认存在恶意发布。
攻击途径
供应链：攻击者使用三个被盗的维护者GitHub账户/GitHub CLI OAuth令牌修改了发布流水线，并发布了包含编译恶意软件的攻击者构建的wheels和镜像，该恶意软件会在每次Python启动时窃取凭证并加载远程代码执行工具（通过cook.pth / sitecustomize.py）。
受影响系统
LiteLLM OSS：PyPI litellm==1.107.0（所有七个wheels）；Docker Hub/GHCR镜像 v1.107.0、latest、main-latest、main-stable（litellm、litellm-database、litellm-non_root）
缓解措施
不要通过pip install来清理环境（这会重新触发.pth钩子）。删除cook.pth、cook.py、sitecustomize.py及对应的__pycache__文件；终止持有/tmp/remote_code_loader.lock的分离式Python守护进程；重建镜像/虚拟环境并固定litellm==1.106.2或更早版本。事件页面：https://docs.litellm.ai/blog/security-incident-oct-21-2026。将任何受影响的环境视为完全被入侵（如果其具有出站互联网访问，则假定数据已外泄）。