事件经过
LiteLLM的正式事后分析（发布于2026-10-23，2026-10-24-26广泛报道）确定了10月21日供应链入侵的初始访问向量：2026年5月一个未撤销的Agent Platform主密钥在公开仓库中泄露。攻击者于10月10日利用该密钥窃取了一个GitHub组织所有者CLI OAuth令牌，并在10月10日至21日期间外泄更多维护者令牌、覆盖分支保护，并从仿冒仓库构建了恶意发布版本。这一头条细节和根因推翻了早先的假设，即令牌是从内部LiteLLM响应日志中窃取的。
影响分析
这是先前报道的v1.107.0事件的重要升级：它表明代理编排平台上的单个未轮换主密钥使攻击者获得了组织所有者的GitHub访问权限，且恶意软件还针对上游推理API密钥（OpenAI、Anthropic、Bedrock），并可在任何运行LiteLLM网关的主机上加载。任何自托管LiteLLM Agent Platform或带有提供商密钥的LiteLLM代理的组织均暴露于风险。
攻击途径
一个LiteLLM Agent Platform主密钥于2026-05-27被意外提交到公开的LiteLLM-Labs/lite-harness仓库，且从未撤销。攻击者于2026-10-10使用该密钥访问Agent Platform，提取了与组织所有者账户关联的未缩小权限的GitHub CLI OAuth令牌，随后数天内利用该所有者级别访问权限窃取维护者令牌、禁用分支保护、将部署器重定向到仿冒仓库（Berri-AI/litellm），并发布了被污染版本的v1.107.0。
受影响系统
LiteLLM Agent Platform（开源代理编排工具）和LiteLLM发布流水线；恶意工件litellm==1.107.0和Docker标签v1.107.0 / latest / main-latest / main-stable。
缓解措施
轮换受感染主机可能接触过的所有凭据；撤销/轮换所有GitHub CLI OAuth令牌和组织所有者令牌；强制实施机密轮换和最小权限范围；将任何运行过litellm 1.107.0或拉取受影响镜像的主机视为完全受感染；固定到干净版本如litellm==1.106.4，并阻止litellm[.]dev。