LiteLLM 1.107.0 遭供应链攻击，投递凭据窃取器与后门
LiteLLM Python 包 1.107.0 遭供应链攻击，通过 PyPI wheels 和 Docker 镜像分发，投递凭据窃取器与后门；该版本已在 PyPI 隔离，恶意 Docker 镜像已移除。
为什么值得看：事件披露了恶意版本通过窃取的 GitHub CLI OAuth token 发布，并给出受影响 wheel 清单与凭据轮换建议。
#GitHub
The Hacker News精选AI 评分8282 CSO Online同事件AI 评分8282 LiteLLM 发布流程被劫持，PyPI 与 Docker 镜像分发窃取凭证的恶意软件
LiteLLM 的软件发布流程被劫持，攻击者于 10 月 21 日通过 PyPI 和官方 Docker 镜像分发 1.107.0 版本，恶意 Python 包约两小时后被移除，latest、main-latest、main-stable 标签的镜像当天稍晚被撤下或替换。
同一件事，精选收录的是《LiteLLM 1.107.0 遭供应链攻击，投递凭据窃取器与后门》
The Hacker News同事件AI 评分7575 LiteLLM 称 GitHub Token 经 AI 网关日志泄露，导致恶意 Python 包被发布
LiteLLM 披露威胁行为者攻破其多项独立安全控制，于 2026 年 10 月 21 日凌晨约 4 点通过被入侵的发布流水线，向 Docker Hub 和 PyPI 推送了含凭据窃取程序与后门的 1.107.0 版本。LiteLLM 怀疑 GitHub Token 从 AI 网关日志中泄露。
同一件事，精选收录的是《LiteLLM 1.107.0 遭供应链攻击，投递凭据窃取器与后门》
OpenSSF 恶意包库AI 评分2222 OpenSSF 恶意包库更新 MAL-2026-18100：npm 包 unicode-title-normalizer 安装时窃取 GITHUB_TOKEN
OpenSSF 恶意包库更新 MAL-2026-18100，记录 npm 包 [email protected] 在 install 脚本中用 curl 将 GITHUB_TOKEN 拼入 webhook.site 地址外传。
OpenSSF 恶意包库AI 评分3434 OpenSSF 恶意包库新增 [email protected] 恶意包报告（#1653）
OpenSSF 恶意包库新增 npm 包 [email protected] 的恶意报告，标记为 CWE-506 嵌入式恶意代码。
OpenSSF 恶意包库AI 评分4242 OpenSSF 恶意包库更新：收录 PyPI 恶意包 acoustichub、acousticpack、asrdock、asrloom
OpenSSF 恶意包库新增收录 PyPI 上的 acoustichub、acousticpack、asrdock、asrloom 等恶意包，均仅涉及 0.1.0 版本，归属活动 2026-10-voice-synthesis-profiles。
OpenSSF 恶意包库AI 评分2525 OpenSSF 恶意包库更新：为 npm 包 snavbox 补充 MAL-2025-49362 受影响版本与 GHSA 编号
OpenSSF 恶意包库更新了 npm 包 snavbox 的恶意包记录 MAL-2025-49362，受影响版本在原有 1.0.0、1.0.2、1.0.3 基础上补入 1.0.1。该记录关联 GHSA-ppfj-vpcr-qwqg，归类为 CWE-506 内嵌恶意代码，GHSA 条目以 SEMVER 范围从 0 引入覆盖 1.0.0 至 1.0.3。
OpenSSF 恶意包库AI 评分4040 OpenSSF 恶意包库更新：从 GHSA 收录 snavbox npm 恶意包（GHSA-ppfj-vpcr-qwqg）
OpenSSF 恶意包库新增一条来自 GHSA 的恶意包记录，涉及 npm 生态的 snavbox 包 1.0.0–1.0.3 版本，对应 GHSA-ppfj-vpcr-qwqg，归类为 CWE-506 嵌入式恶意代码。通告称安装或运行该包的机器应视为完全失陷，需在另一台机器上立即轮换全部密钥，仅卸载包无法保证清除恶意软件。
OpenSSF 恶意包库同事件AI 评分8888 OpenSSF 恶意包库更新 MAL-2026-2144：litellm 1.107.0 被注入窃密与后门代码
OpenSSF 恶意包库更新 MAL-2026-2144，将 PyPI 上的 litellm 1.107.0 标记为恶意，该版本于 2026-10-21 11:39 至 11:40 UTC 上传，含上游源码中没有的凭据窃取程序与远程代码执行后门，注入发生在构建或上传阶段。
OpenSSF 恶意包库精选AI 评分8888 OpenSSF 恶意包库记录 PyPI litellm 1.107.0 含凭据窃取与后门
OpenSSF 恶意包库新增记录，指出 2026-10-21 上传至 PyPI 的 litellm 1.107.0 含上游源码中不存在的凭据窃取程序与远程代码执行后门，系在构建或上传环节注入。
为什么值得看：记录披露了投毒 wheel 中三个额外文件的具体路径与哈希，可用于排查本地是否装过该版本并定位残留。
OpenSSF 恶意包库AI 评分3838 OpenSSF 恶意包库更新：从 GHSA 收录 npm 恶意包 @worrisome/aaaa 与 @worrisome/reutil
OpenSSF 恶意包库新增两条来自 GHSA 的 npm 恶意包记录，分别为 GHSA-fxf3-w84v-3v6g（@worrisome/aaaa）和 GHSA-4f5p-mp5p-863f（@worrisome/reutil），均归类为 CWE-506 嵌入式恶意代码，影响范围自 0 起的所有版本。
GitHub 安全公告库 (GHSA)精选AI 评分7171 certifi 2026.10.18 之前版本内置私钥泄露的 emSign 中间 CA 根证书
GitHub 安全公告指出，2026.10.18 之前的 certifi 版本在内置 CA 库中包含 `emSign ECC Root CA - G3` 根证书，链到该根证书的 8 张 eMudhra 中间 CA 证书私钥已泄露并被 CA 吊销。
为什么值得看：公告说明 certifi 内置的 emSign 根证书链上存在私钥泄露的中间 CA，并给出受影响版本与升级版本，便于排查依赖链。
CSO OnlineAI 评分5858 OpenAI 官方 skills 仓库中 Render 技能含幻觉域名 render-internal.com，可致 token 外泄
AIR Security 研究实验室在 OpenAI 官方 skills 仓库的一个技能中发现供应链问题，该技能用于教 AI agent 在 Render 上部署应用，却指示生产应用把 token 发送到未注册域名 render-internal.com。
Qualys 威胁研究AI 评分3838 Qualys 分析供应链攻击如何演变为云入侵：从 npm 恶意包到云凭证窃取
Qualys 威胁研究梳理 2025 年 9 月至 2026 年 5 月的多起供应链攻击，指出恶意包可在安装阶段窃取 AWS 密钥、GitHub PAT、Vault token 等云凭证，使开发者工作站和 CI/CD 流水线成为云资源入口。
GitHub 安全博客AI 评分3838 GitHub 将 Dependabot 恶意软件通告从 npm 扩展至 PyPI 等八大生态
GitHub 将 Dependabot 的恶意软件通告从 npm 扩展至 PyPI，并借助 OpenSSF 的 malicious-packages 数据覆盖 npm、PyPI、Maven、RubyGems、NuGet、Go、crates.io 和 PHP Composer 八大生态。
GitHub Security LabAI 评分2222 GitHub 谈开源供应链安全：从 GitHub Actions 到 npm 的防护措施与路线图
GitHub 指出近期开源供应链攻击多从攻陷 GitHub Actions 工作流入手，窃取 API key 等密钥后发布恶意包并扩散。