用 LiteLLM 的注意：1.107.0 被投毒不到 2 小时，赶紧查版本轮换密钥

供应链攻击这周烧到了 AI 工具链自己头上。安全公司 Wiz 披露：10 月 21 日 11:39 到 13:20（UTC），恶意版 LiteLLM 1.107.0 被上传到 PyPI，挂了不到 2 小时，Docker 镜像（包括 latest 标签）同步中招。

payload 干的事很直接：随 Python 启动执行，偷浏览器凭证、AWS/GCP/Azure 云密钥、OpenAI/Anthropic 等 LLM 的 API key，还直查 LiteLLM 自己的 Postgres 凭证表。攻击路径也查清了：Claude Code 把 GitHub CLI 的 OAuth token 写进了日志，攻击者拿这个 token 推送了恶意版本。LiteLLM 背后的 BerriAI 已承认根因。安全版本是 1.106.2。

如果你在用 LiteLLM，今天就做这三件事：

1. 查版本：pip show litellm / 看 Docker 镜像 tag，确认不是 1.107.0。是的话立即重装 1.106.2。
2. 轮换密钥：OpenAI/Anthropic key、云厂商 AK/SK——只要那台机器在可疑窗口内装过或跑过问题版本，全换。别心存侥幸，payload 是启动即执行。
3. 查日志泄露：看看 CI 日志、agent 的输出里有没有明文 token。Claude Code 写日志这个根因提醒我们：token 进日志=token 已泄露，日志也要当密钥管。

独立判断：这次事件和"AI 写代码不安全"是两回事——是"给 AI 配的工具链本身被下毒"。agent 生态越繁荣，供应链越值钱。以后给 agent 装任何 skill、MCP、网关，第一反应应该是：这是官方源吗？版本对吗？这套肌肉得练出来。

（事实来自 Wiz 完整技术分析；LiteLLM/BerriAI 官方已承认根因；第二阶段 loader 未被激活，见 StepSecurity 经 ai-news-online 转述。）