LiteLLM supply chain attack hoovers up passwords and secrets

我手头只有标题和摘要，原文正文没有抓到，HN 那边一个评论都没有。标题来自 The Register，日期栏里写着 2026 年 10 月 21 日。具体发生了什么、攻击链怎么走完的、有没有人公开了 IoC，这些我统统不知道。

从标题能确认的只有一件事，LiteLLM 遭遇了供应链攻击，手段是"hoovers up passwords and secrets"，也就是把密码和密钥之类的东西吸走。LiteLLM 本身是个 Python 库，用来统一调用各家大模型的 API，很多团队把它当胶水层嵌进自己的服务里。一个被广泛依赖的开源包被投毒，影响面往往比单点漏洞大得多，因为依赖它的下游项目未必能及时感知上游出了问题。

我没有读到攻击的技术细节，所以无法判断这个供应链攻击是发生在包发布环节、CI 流程还是别的地方。但标题里用的"hoovers up"这个词挺有意思，它暗示攻击者的行为可能超出了单纯在包里塞一段后门代码的范围，更像是一种持续收集、批量收割的运作模式。密码和密钥被吸走之后，下一步通常是横向渗透或者身份盗用，那些把生产环境凭证放进 LiteLLM 配置文件的团队，恐怕得先做一轮密钥轮换再说。

AI 工具链里的开源依赖数量在膨胀，审计和维护跟不上，供应链安全就成了一个越来越现实的威胁面。这个标题本身信息量不大，但它提醒了用 LiteLLM 的人去看一眼自己的 lock 文件和近期 changelog。至于具体哪个版本被污染、攻击持续了多久，我确实不知道，也不打算猜。

原文：

LiteLLM supply chain attack hoovers up passwords and secrets · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月24日