LiteLLM 发布流水线被入侵，PyPI 与 Docker 镜像被植入窃密恶意代码
LiteLLM 项目的发布流水线于 10 月 21 日被入侵，攻击者向 PyPI 和 Docker 仓库推送了 1.107.0 版本，其中包含窃取凭据并加载远程代码执行工具的编译恶意代码。
为什么值得看：复盘列出了被投毒的 PyPI wheel 与 Docker 镜像标签及存活时间窗，可据此排查自己是否装过受影响版本。
#供应链
BleepingComputer精选AI 评分8888 OpenSSF 恶意包库精选AI 评分5858 OpenSSF 恶意包库新增 npm 包 @sudobility/indexer_client 0.0.146 恶意代码记录 MAL-2026-18127
OpenSSF 恶意包库新增记录 MAL-2026-18127，指 npm 包 @sudobility/indexer_client 0.0.146 含恶意代码，并关联 GHSA-xfvr-39v2-q24q。
为什么值得看：记录显示 npm 包 @sudobility/indexer_client 的 postinstall 会下载挖矿载荷，并给出可核查的 IOC 与处置建议。
OpenSSF 恶意包库AI 评分3636 OpenSSF 恶意包库收录 @sudobility 多个 npm 包恶意代码通告（含 GHSA-xfvr-39v2-q24q 等）
OpenSSF 恶意包库新增多条 GHSA 通告，标记 @sudobility 旗下 indexer_client 0.0.146、shaperouter_client 0.0.14、testomniac_client 0.0.131、wildduck_client 等 npm 包含内嵌恶意代码（CWE-506）。
The Hacker News同事件AI 评分8282 LiteLLM 1.107.0 遭供应链攻击，投递凭据窃取器与后门
LiteLLM Python 包 1.107.0 遭供应链攻击，通过 PyPI wheels 和 Docker 镜像分发，投递凭据窃取器与后门；该版本已在 PyPI 隔离，恶意 Docker 镜像已移除。
同一件事，精选收录的是《LiteLLM 发布流水线被入侵，PyPI 与 Docker 镜像被植入窃密恶意代码》
OpenSSF 恶意包库AI 评分4242 OpenSSF 恶意包库为 PyPI 恶意包 1h1 与 aanthropic 分配 MAL-2026-18188、MAL-2026-18189 编号
OpenSSF 恶意包库为 PyPI 恶意包 1h1 和 aanthropic 分别分配编号 MAL-2026-18188 与 MAL-2026-18189，两包版本均为 1.0.0。两包在安装时下载并执行远程可执行文件，被归入 2026-10-semvver 活动，特征含恶意软件与误植域名。
OpenSSF 恶意包库AI 评分5252 OpenSSF 恶意包库收录 PyPI 恶意包 1h1 与 aanthropic
OpenSSF 恶意包库新增两条 PyPI 恶意包记录，包名分别为 1h1 与 aanthropic，版本均为 1.0.0，归属活动 2026-10-semvver。
CSO Online同事件AI 评分8282 LiteLLM 发布流程被劫持，PyPI 与 Docker 镜像分发窃取凭证的恶意软件
LiteLLM 的软件发布流程被劫持，攻击者于 10 月 21 日通过 PyPI 和官方 Docker 镜像分发 1.107.0 版本，恶意 Python 包约两小时后被移除，latest、main-latest、main-stable 标签的镜像当天稍晚被撤下或替换。
同一件事，精选收录的是《LiteLLM 发布流水线被入侵，PyPI 与 Docker 镜像被植入窃密恶意代码》
The Hacker News同事件AI 评分7575 LiteLLM 称 GitHub Token 经 AI 网关日志泄露，导致恶意 Python 包被发布
LiteLLM 披露威胁行为者攻破其多项独立安全控制，于 2026 年 10 月 21 日凌晨约 4 点通过被入侵的发布流水线，向 Docker Hub 和 PyPI 推送了含凭据窃取程序与后门的 1.107.0 版本。LiteLLM 怀疑 GitHub Token 从 AI 网关日志中泄露。
同一件事，精选收录的是《LiteLLM 发布流水线被入侵，PyPI 与 Docker 镜像被植入窃密恶意代码》
OpenSSF 恶意包库AI 评分5050 OpenSSF 恶意包库新增 npm 包 @platform-services/hrm-mfe-core 99.9.1 恶意记录 MAL-2026-18091
OpenSSF 恶意包库更新 MAL-2026-18091，将 npm 包 @platform-services/hrm-mfe-core 99.9.1 标记为恶意，CWE 归类为 CWE-506 嵌入式恶意代码。
OpenSSF 恶意包库精选AI 评分5858 OpenSSF 恶意包库新增 5 个 npm 恶意包，含仿冒 Anthropic 域名窃取 API 密钥
OpenSSF 恶意包库通过 Ingest OSV 提交新增 5 个 npm 恶意包记录，均由 Amazon Inspector 发现。
为什么值得看：这批 npm 恶意包覆盖安装期远程拉取、仿冒 Anthropic 域名窃取密钥与 GYP 命令扩展执行三类手法，可对照排查自有依赖。
OpenSSF 恶意包库同事件AI 评分5858 OpenSSF 恶意包库新增 MAL-2026-18178：npm 包 event-emitter-testmetest 植入窃密载荷
OpenSSF 恶意包库新增记录 MAL-2026-18178，指出 npm 包 event-emitter-testmetest 由账号 testnewtestme2 于 2026-10-21 发布，先用于测试 data-pipeline-testmetest 2.0.1 的投递链路，随后用于投放该窃密程序。
同一件事，精选收录的是《OpenSSF 恶意包库记录 npm 包 event-emitter-testmetest 多个版本投递窃密载荷》
OpenSSF 恶意包库精选AI 评分5858 OpenSSF 恶意包库记录 npm 包 event-emitter-testmetest 多个版本投递窃密载荷
OpenSSF 恶意包库新增记录，npm 账号 testnewtestme2 于 2026-10-21 发布的 event-emitter-testmetest 1.0.6、1.0.7、4.1.0、5.0.0 携带恶意代码，CWE-506。
为什么值得看：记录给出了恶意 npm 包的版本、隐藏安装钩子与各版本载荷差异，便于开发者比对依赖与文件哈希。
OpenSSF 恶意包库AI 评分2222 OpenSSF 恶意包库更新 MAL-2026-18100：npm 包 unicode-title-normalizer 安装时窃取 GITHUB_TOKEN
OpenSSF 恶意包库更新 MAL-2026-18100，记录 npm 包 [email protected] 在 install 脚本中用 curl 将 GITHUB_TOKEN 拼入 webhook.site 地址外传。
OpenSSF 恶意包库AI 评分3434 OpenSSF 恶意包库新增 [email protected] 恶意包报告（#1653）
OpenSSF 恶意包库新增 npm 包 [email protected] 的恶意报告，标记为 CWE-506 嵌入式恶意代码。
OpenSSF 恶意包库AI 评分4040 OpenSSF 恶意包库更新：为 PyPI 恶意包分配 MAL 编号
OpenSSF 恶意包库为 PyPI 上的 acoustichub、acousticpack、asrdock 等恶意包分配 MAL-2026-18155、MAL-2026-18152、MAL-2026-18156 等编号。这些包属于 2026-10-voice-synthesis-profiles 活动，作为加载器从给定 URL 下载并执行远程恶意脚本，本身不含恶意载荷，用途尚不明确。
OpenSSF 恶意包库AI 评分4242 OpenSSF 恶意包库更新：收录 PyPI 恶意包 acoustichub、acousticpack、asrdock、asrloom
OpenSSF 恶意包库新增收录 PyPI 上的 acoustichub、acousticpack、asrdock、asrloom 等恶意包，均仅涉及 0.1.0 版本，归属活动 2026-10-voice-synthesis-profiles。
OpenSSF 恶意包库AI 评分3838 OpenSSF 恶意包库更新：为 PyPI 恶意包 acousticpack、codecraze、dictanovaasr 分配 MAL 编号
OpenSSF 恶意包库为 PyPI 上的 acousticpack、codecraze、dictanovaasr 等包分配 MAL-2026-18152、MAL-2026-18137、MAL-2026-18139 等编号。
OpenSSF 恶意包库AI 评分4242 OpenSSF 恶意包库更新：收录 PyPI 恶意包 acousticpack、codecraze 等（2026-10-voice-synthesis-profiles 活动）
OpenSSF 恶意包库新增收录 PyPI 恶意包 acousticpack、codecraze、dictanovaasr、hookgantry，均属 2026-10-voice-synthesis-profiles 活动，版本为 0.1.0。这些 loader 包会从给定 URL 下载并执行远程恶意脚本，本身不含恶意载荷，用途尚不明确。
OpenSSF 恶意包库AI 评分3434 OpenSSF 恶意包库为 PyPI 恶意包 aurenatts、batchspar、brummatts 分配 MAL 编号
OpenSSF 恶意包库为 PyPI 上的 aurenatts、batchspar、brummatts 等恶意包分配 MAL-2026-18134 至 MAL-2026-18136 编号。这些包属于 2026-10-voice-synthesis-profiles 活动，作为加载器从给定 URL 下载并执行远程恶意脚本，自身不含恶意载荷，用途尚不明确。
OpenSSF 恶意包库AI 评分4242 OpenSSF 恶意包库更新：收录 PyPI 恶意包 OSV 数据
OpenSSF 恶意包库更新了 PyPI 恶意包 OSV 数据，新增 aurenatts、batchspar、brummatts、codecraze 等包（均为 0.1.0 版本）的恶意记录。这些包属于 2026-10-voice-synthesis-profiles 活动，作为加载器从给定 URL 下载并执行远程恶意脚本，本身不含恶意载荷，用途尚不明确。
OpenSSF 恶意包库AI 评分2222 OpenSSF 恶意包库为 journey-test-hellospy 分配 MAL-2026-18133 编号
OpenSSF 恶意包库更新记录为 PyPI 包 journey-test-hellospy 分配编号 MAL-2026-18133，并补充来源 kam193 的详情与分析师署名。该包在安装时窃取敏感环境变量，并通过覆盖 setup.py 的 install 命令执行恶意代码、创建反向 shell，属于 2026-10-journey-test-helloshell 定向攻击活动。
OpenSSF 恶意包库AI 评分3838 OpenSSF 恶意包库收录 PyPI 包 journey-test-hellospy 0.1.1 恶意代码
OpenSSF 恶意包库新增 PyPI 包 journey-test-hellospy 0.1.1，该包在安装时通过覆盖 setup.py 的 install 命令执行恶意代码并窃取环境变量，同时包含创建反向 shell 的代码。该包归属 2026-10-journey-test-helloshell 活动，被标记为定向攻击，IOC 包含 IP 137.131.233.62。
OpenSSF 恶意包库精选AI 评分5858 OpenSSF 恶意包库为 @sudobility 系列 npm 包与 iterquarry 分配 MAL 编号
OpenSSF 恶意包库提交为多个恶意包分配 MAL 编号，包括 npm 上的 @sudobility/indexer_client 0.0.146、@sudobility/shaperouter_client 0.0.14、@sudobility/testomniac_client 0.0.131、@sudobility/wildduck_client 2.3.102。
为什么值得看：提交记录显示 @sudobility 系列 npm 包在 postinstall 中投放 XMRig 挖矿程序，并列出 S3 下载地址与矿池域名等 IOC。
OpenSSF 恶意包库AI 评分4242 OpenSSF 恶意包库更新：收录 npm 包 @sudobility/indexer_client 与 @sudobility/shaperouter_client 的 XMRig 挖矿木马
OpenSSF 恶意包库新增两条 npm 恶意包记录：@sudobility/indexer_client 0.0.146 与 @sudobility/shaperouter_client 0.0.14 的 postinstall 钩子执行 scripts/miner.sh，从预签名 S3 URL 下载载荷解压至 /tmp/.smi 并运行。
OpenSSF 恶意包库AI 评分2525 OpenSSF 恶意包库更新：为 npm 包 snavbox 补充 MAL-2025-49362 受影响版本与 GHSA 编号
OpenSSF 恶意包库更新了 npm 包 snavbox 的恶意包记录 MAL-2025-49362，受影响版本在原有 1.0.0、1.0.2、1.0.3 基础上补入 1.0.1。该记录关联 GHSA-ppfj-vpcr-qwqg，归类为 CWE-506 内嵌恶意代码，GHSA 条目以 SEMVER 范围从 0 引入覆盖 1.0.0 至 1.0.3。
OpenSSF 恶意包库AI 评分4040 OpenSSF 恶意包库更新：从 GHSA 收录 snavbox npm 恶意包（GHSA-ppfj-vpcr-qwqg）
OpenSSF 恶意包库新增一条来自 GHSA 的恶意包记录，涉及 npm 生态的 snavbox 包 1.0.0–1.0.3 版本，对应 GHSA-ppfj-vpcr-qwqg，归类为 CWE-506 嵌入式恶意代码。通告称安装或运行该包的机器应视为完全失陷，需在另一台机器上立即轮换全部密钥，仅卸载包无法保证清除恶意软件。
OpenSSF 恶意包库AI 评分1313 OpenSSF 恶意包库更新：为恶意 RubyGems 包分配 ID
OpenSSF 恶意包库本次更新为恶意 RubyGems 包分配标识 ID，涉及 osv/malicious 目录下 zzhelloworld_socktest 等条目的哈希变更与文件删除。
OpenSSF 恶意包库AI 评分4040 OpenSSF 恶意包库更新：收录 Amazon Inspector 上报的 RubyGems 恶意包 zzhelloworld_socktest
OpenSSF 恶意包库新增 Amazon Inspector 上报的 RubyGems 恶意包 zzhelloworld_socktest，涉及 0.1.5 与 0.1.9 两个版本。
OpenSSF 恶意包库同事件AI 评分8888 OpenSSF 恶意包库更新 MAL-2026-2144：litellm 1.107.0 被注入窃密与后门代码
OpenSSF 恶意包库更新 MAL-2026-2144，将 PyPI 上的 litellm 1.107.0 标记为恶意，该版本于 2026-10-21 11:39 至 11:40 UTC 上传，含上游源码中没有的凭据窃取程序与远程代码执行后门，注入发生在构建或上传阶段。
OpenSSF 恶意包库精选AI 评分8888 OpenSSF 恶意包库记录 PyPI litellm 1.107.0 含凭据窃取与后门
OpenSSF 恶意包库新增记录，指出 2026-10-21 上传至 PyPI 的 litellm 1.107.0 含上游源码中不存在的凭据窃取程序与远程代码执行后门，系在构建或上传环节注入。
为什么值得看：记录披露了投毒 wheel 中三个额外文件的具体路径与哈希，可用于排查本地是否装过该版本并定位残留。
OpenSSF 恶意包库AI 评分3434 OpenSSF 恶意包库为 npm 包 @worrisome/reutil 补录 GHSA-4f5p-mp5p-863f 别名
OpenSSF 恶意包库更新 MAL-2026-15604，为 npm 包 @worrisome/reutil 补录别名 GHSA-4f5p-mp5p-863f。
OpenSSF 恶意包库AI 评分3838 OpenSSF 恶意包库更新：从 GHSA 收录 npm 恶意包 @worrisome/aaaa 与 @worrisome/reutil
OpenSSF 恶意包库新增两条来自 GHSA 的 npm 恶意包记录，分别为 GHSA-fxf3-w84v-3v6g（@worrisome/aaaa）和 GHSA-4f5p-mp5p-863f（@worrisome/reutil），均归类为 CWE-506 嵌入式恶意代码，影响范围自 0 起的所有版本。
OpenSSF 恶意包库AI 评分2222 OpenSSF 恶意包库更新：为 PyPI 恶意包 journey-test-helloshell 分配 MAL-2026-18124 编号
OpenSSF 恶意包库为 PyPI 包 journey-test-helloshell 0.2.0 分配编号 MAL-2026-18124，并将其标记为恶意活动 2026-10-journey-test-helloshell 的一部分。
OpenSSF 恶意包库AI 评分3838 OpenSSF 恶意包库收录 PyPI 包 journey-test-helloshell 0.2.0 安装期反弹 Shell
OpenSSF 恶意包库新增记录：PyPI 包 journey-test-helloshell 0.2.0 在安装时启动反弹 Shell，攻击者可借此在受害者机器上执行任意命令。该包通过覆盖 setup.py 中的 install 命令在安装阶段执行恶意代码，被归类为定向攻击，IOC 包含 IP 137.131.233.62。
GitHub 安全公告库 (GHSA)精选AI 评分7171 certifi 2026.10.18 之前版本内置私钥泄露的 emSign 中间 CA 根证书
GitHub 安全公告指出，2026.10.18 之前的 certifi 版本在内置 CA 库中包含 `emSign ECC Root CA - G3` 根证书，链到该根证书的 8 张 eMudhra 中间 CA 证书私钥已泄露并被 CA 吊销。
为什么值得看：公告说明 certifi 内置的 emSign 根证书链上存在私钥泄露的中间 CA，并给出受影响版本与升级版本，便于排查依赖链。
Malwarebytes 博客AI 评分7171 AOMEI Backupper 更新服务器被劫持投递恶意软件，GTIG 披露自查线索
Google Threat Intelligence Group（GTIG）报告称，攻击者在 4 月至 7 月调查的一起行动中入侵了 AOMEI Technology 的更新与通知基础设施，短暂篡改 AOMEI Backupper 的下载指令，使其指向恶意 ZIP 压缩包，并同步修改预期版本号与 MD5 校验值以让客户端接受。
CSO OnlineAI 评分5858 OpenAI 官方 skills 仓库中 Render 技能含幻觉域名 render-internal.com，可致 token 外泄
AIR Security 研究实验室在 OpenAI 官方 skills 仓库的一个技能中发现供应链问题，该技能用于教 AI agent 在 Render 上部署应用，却指示生产应用把 token 发送到未注册域名 render-internal.com。
Schneier on SecurityAI 评分3636 开放权重 AI 模型可被植入后门：从 1.5B 到 7B 模型的验证
任何权重被修改过的开放模型都可能携带后门，包括任务微调、合并适配器和 abliterated 构建；作者用开放基座、公开数据集和租用 GPU 低成本制作了后门模型，先以 1.5B 模型验证概念，再扩展到 7B 并通过 OpenAI 的 Codex CLI 测试。
Trail of Bits 博客AI 评分3838 Trail of Bits 测试 25 款包管理器：多数无法检测恶意仓库注入代码
Trail of Bits 测试 25 款主流包管理器能否发现被入侵的软件仓库向合法包注入恶意代码，结果不到一半默认通过 lockfile 校验篡改，仅 Go 和 vcpkg 会校验每个下载包的完整性。
Palo Alto Unit 42AI 评分4848 Unit 42 分析 Web3 在云供应链攻击中的 C2 演进
Unit 42 梳理攻击者将 C2 基础设施从硬编码域名迁移到 Web3 智能合约的三个阶段，依次为 EtherHiding、TxDataHiding 和 NullReceiver 零数据地址解析。