开源 AI 网关 LiteLLM 1.107.0 遭投毒：PyPI 与 Docker 带毒约两小时，窃取云与 AI 工具密钥；官方称攻击者从暴露的内部网关日志中取得被 Claude Code 写入的 GitHub 令牌

这件事意味着什么

【要点】

开源 AI 网关 LiteLLM 10 月 21 日确认发布流水线被攻破，带毒的 1.107.0 版被推上 PyPI 和官方 Docker 镜像。LiteLLM 用来把请求转发给几十家大模型厂商，Datadog 称其每周下载约 2300 万次。

一、影响范围：PyPI 上 7 个安装包在 UTC 11:39–13:23（北京时间 19:39–21:23）可下载；Docker 的 v1.107.0、latest、main-latest、main-stable 标签在 11:46–14:20 指向带毒镜像。GitHub 上的源码是干净的，私有企业版不受影响。

二、恶意代码做什么：安装后每次启动 Python 都会运行，不需要 import litellm。它收集云账号密钥、SSH 密钥、K8s 与 CI 机密、浏览器密码，以及 Claude、Cursor 等 AI 开发工具的配置，加密后外传；还会每小时拉取并执行远程代码。

三、怎么被攻破的（官方初步结论）：攻击者先进入 LiteLLM 一个暴露在公网的内部部署，从日志里拿到 3 名开发者的 GitHub CLI 令牌。官方称观察到 Claude Code 在某些情况下会把用户的 GitHub 令牌写进响应内容，而这些响应被网关记了日志。攻击者用其中一名组织所有者的令牌关掉分支保护，把发布流程指向仿冒仓库 Berri-AI/litellm，签名并发布了带毒包。

四、处置：官方建议先手动删掉 cook.pth、cook.py、sitecustomize.py 再碰 pip，回退到 1.106.2，并轮换主机能接触到的全部密钥。

【可核验】

LiteLLM 官方事件通报：https://docs.litellm.ai/blog/security-incident-oct-21-2026

OSV 恶意包记录：https://osv.dev/vulnerability/MAL-2026-2144

Datadog 分析：https://securitylabs.datadoghq.com/articles/litellm-compromised-pypi-docker/

OX Security 分析：https://www.ox.security/blog/litellm-1-107-0-compromised-with-a-rat-infostealer/

【我们的判断】

一、背景：这是 LiteLLM 今年第二次被投毒，3 月 1.82.7/1.82.8 用的是同一种「.pth 启动即执行」手法。而这次 LiteLLM 3 月后已经做了不少加固：私有仓库发布、可信发布者、只允许办公室里一台锁定的电脑发布、镜像签名。攻击者绕过它们，靠的是偷来的开发者令牌。

二、横向比较：昨天本站报道的微软 Storm-0940 案（e/1031）是攻击者用 AI 工具去打供应链；这一次是 AI 开发工具本身的日志变成泄露源，路径是「编程代理把令牌写进输出、网关把输出记日志、日志所在服务暴露公网」。单看每一环都不算大错，连起来就把整个发布链交了出去。和普通 npm/PyPI 投毒相比，AI 网关的位置更敏感，它手里握着企业所有大模型厂商的 API 密钥。

三、影响：对企业来说，AI 网关和编程代理的日志要按机密数据管：脱敏、不上公网、限制保留时间。依赖要锁定版本，不能用 latest 镜像。这也解释了为什么 OpenAI 新使用政策（e/1028）开始要求路由器和网关事先审批：网关一旦出事，泄露的是上游所有厂商的密钥。

四、待确认：攻击者如何进入那套内部部署还没查清（官方怀疑是一个刚修补的漏洞，另有一个漏洞定于 10 月 27 日披露）；Claude Code 写入令牌的具体条件，Anthropic 还没有公开回应；有安全公司称被盗凭据已被使用，但受害规模未公布。