關(guān)鍵詞

大模型投毒

科技媒體 cyberkendra 昨日（3 月 24 日）發(fā)布博文，報(bào)告稱(chēng)月均安裝量達(dá) 9500 萬(wàn)次的 AI 基礎(chǔ)設(shè)施工具 LiteLLM 遭到供應(yīng)鏈投毒。

IT 之家注：LiteLLM 是一個(gè)開(kāi)源的 AI API 網(wǎng)關(guān)，作為支撐數(shù)千家企業(yè) AI 架構(gòu)的關(guān)鍵工具，支持開(kāi)發(fā)者通過(guò)統(tǒng)一的格式調(diào)用 OpenAI、Anthropic、Azure 等 100 多家服務(wù)商的 API 調(diào)用。

該工具于 2026 年 3 月 24 日在 PyPI 官方倉(cāng)庫(kù)發(fā)布了兩個(gè)帶有后門(mén)的版本（1.82.7 和 1.82.8）。這兩個(gè)惡意版本攜帶了復(fù)雜的 " 三階段 " 攻擊負(fù)載：首先通過(guò)憑據(jù)收集器竊取數(shù)據(jù)，隨后利用 Kubernetes 橫向移動(dòng)工具在集群節(jié)點(diǎn)間滲透，最后植入偽裝成 " 系統(tǒng)遙測(cè)服務(wù) " 的持久后門(mén)。

惡意版本目前已從倉(cāng)庫(kù)撤下，最后一個(gè)安全版本確認(rèn)為 1.82.6。

此次投毒在技術(shù)手段上表現(xiàn)出極高的隱蔽性。1.82.7 版本將惡意代碼隱藏在 proxy_server.py 文件中，只要用戶(hù)導(dǎo)入該模塊，代碼就會(huì)靜默執(zhí)行。

而 1.82.8 版本則進(jìn)一步升級(jí)了破壞力，攻擊者利用了 Python 的 .pth 配置文件特性。由于 Python 解釋器在啟動(dòng)時(shí)會(huì)自動(dòng)處理此類(lèi)文件，這意味著惡意軟件會(huì)在任何 Python 調(diào)用時(shí)觸發(fā)，用戶(hù)無(wú)需手動(dòng)導(dǎo)入任何模塊或進(jìn)行交互，環(huán)境即會(huì)被完全感染。

黑客為了模仿 LiteLLM 的官方服務(wù)，通過(guò)偽造的域名 models.litellm.cloud 進(jìn)行數(shù)據(jù)回傳，而該域名極具誤導(dǎo)性。

被竊取的數(shù)據(jù)范圍極廣，涵蓋了 SSH 密鑰、AWS 和 GCP 云憑據(jù)、Kubernetes 機(jī)密、加密貨幣錢(qián)包以及 CI / CD 令牌等。

LiteLLM 本身就是一個(gè) API 密鑰管理網(wǎng)關(guān)，黑客精準(zhǔn)打擊了這一掌握各類(lèi)資源 " 鑰匙 " 的核心節(jié)點(diǎn)。此外為規(guī)避流量檢測(cè)，所有外傳數(shù)據(jù)在發(fā)送前都經(jīng)過(guò)了 AES-256-CBC 和 RSA-4096 的高強(qiáng)度加密。

安全公司 Endor Labs 調(diào)查發(fā)現(xiàn)，此次攻擊由黑客組織 TeamPCP 發(fā)起。該組織本月早些時(shí)候曾入侵過(guò) Aqua Security 的 Trivy 掃描器。

由于 LiteLLM 在自身的 CI / CD 流水線(xiàn)中使用了已被入侵的 Trivy 工具，導(dǎo)致 TeamPCP 獲取了 LiteLLM 的發(fā)布權(quán)限，從而成功推送了帶毒版本。

受影響的用戶(hù)應(yīng)立即采取行動(dòng)以挽回?fù)p失。首先，請(qǐng)運(yùn)行命令 pip show litellm | grep Version 確認(rèn)當(dāng)前版本，并檢查 site-packages 目錄下是否存在 litellm_init.pth 文件。

如果確認(rèn)安裝過(guò)惡意版本，必須立即強(qiáng)制更換所有云端密鑰、SSH 私鑰、數(shù)據(jù)庫(kù)密碼及 Kubernetes 令牌。同時(shí)，建議用戶(hù)將 LiteLLM 降級(jí)至 1.82.6 版本，并安全審計(jì)過(guò)去 48 小時(shí)內(nèi)運(yùn)行過(guò)的所有 CI / CD 流水線(xiàn)，確保沒(méi)有殘留的持久化后門(mén)。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專(zhuān)注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！