微软安全博客· Microsoft Security Research, Mahesh Mandava, Srinivasan Govindarajan, Sagar Patil and Suriyaraj Natarajan·· 4 小时前同事件AI 评分88
微软复盘 LiteLLM 1.107.0 供应链投毒：借 Python 启动钩子窃取凭据
Inside the LiteLLM 1.107.0 supply chain compromise: Credential theft through Python startup hooks
AI 导读
微软披露 2026 年 10 月 21 日发布到 PyPI 的 LiteLLM 1.107.0 遭投毒，恶意包在 litellm-1.107.0.data/purelib/ 下植入 cook.pth、cook.py 和 sitecustomize.py，只要在受影响环境启动 Python 就可能触发窃密代码，无需导入 LiteLLM。
同一件事，精选收录的是《LiteLLM 发布流水线被入侵，PyPI 与 Docker 镜像被植入窃密恶意代码》
来源：微软安全博客 · microsoft.com