LiteLLM 1.107.0 被投毒：我中招了吗，怎么处理

现象

• 在 10-21 晚间（北京时间）执行过不带版本号的 pip install litellm / 升级，或拉取了 latest、main-stable 等标签的 LiteLLM 镜像
• pip show litellm 显示 1.107.0，或 site-packages 里有 cook.pth、cook.py、sitecustomize.py
• 存在 /tmp/remote_code_loader.lock，或有一个父进程为 1、工作目录为 / 的游离 Python 守护进程

常见原因

• 攻击者先拿到内部 LiteLLM 部署日志里的开发者 GitHub CLI OAuth 令牌（官方称 Claude Code 在某些情况下会把令牌带进响应体，而响应体被记录进了日志），再用组织所有者令牌关掉分支保护，把发布工作流指向仿冒仓库 Berri-AI/litellm 并完成签名发布（官方通报，调查仍在进行）
• 恶意文件以 .pth 和 sitecustomize.py 形式放进 site-packages：同一环境里任何 Python 进程启动都会执行，即使从不 import litellm
• 窃取范围很广：SSH 密钥、云凭据、kube/docker/gh 配置、CI 密钥、浏览器密码、各类 AI 编程工具的令牌，以及 LiteLLM 代理数据库里存的各家模型 API Key

解决步骤

1. 先确认是否受影响：pip show litellm 看版本；在所有虚拟环境和镜像里搜索 litellm-1.107.0.dist-info、cook.pth、sitecustomize.py；检查是否运行过镜像摘要 sha256:1bbcb1443bc962e45f5aad53fe3d2c30600e0379715fb6c664cdd3ac126c339e。找到即确认中招；找不到不代表干净（容器和 /tmp 清理会抹掉痕迹）
2. 不要先跑 pip install：受影响环境里任何 Python 启动（包括 pip）都会再次触发恶意代码。先在 shell 里删掉每个受影响 site-packages 中的 cook.pth、cook.py、sitecustomize.py 及对应 __pycache__ 里的 .pyc，并结束持有 /tmp/remote_code_loader.lock 的守护进程
3. 重装时固定版本 litellm==1.106.2（官方建议，或 1.107.0 之前任一明确版本）；更稳妥的是从头重建虚拟环境和镜像，镜像按摘要（digest）锁定，不要用 latest
4. 假定数据已外泄并轮换：实例 / 任务 IAM 角色、LiteLLM 代理数据库里的所有模型厂商 Key、master key 和 virtual key、DATABASE_URL 密码、主机上任何进程环境变量里的密钥，以及 SSH、云、GitHub、AI 编程工具的令牌
5. 查审计日志：例如 AWS CloudTrail 里安装时间前后该实例角色的 GetCallerIdentity 调用，以及之后来自你基础设施之外的凭据使用
6. 以后防范：依赖锁版本并校验哈希（如 uv pip install --require-hashes / pip --require-hashes），镜像锁 digest；CI 和代理机器用最小权限、短期凭据；别把 GitHub CLI 令牌等长期凭据放在 agent 能读到、日志会记录的地方

注意

• 本页依据 LiteLLM 官方事件通报（最后更新 2026-10-21 20:30 UTC）与发现者在官方仓库的 issue 整理；官方称每两小时更新一次，处置细节以官方页面为准
• 官方称使用私有企业镜像源的企业客户不受影响
• 本站软件库中 LiteLLM 条目的“最新版本”可能显示 GitHub 上的 v1.107.0 标签：该标签源码本身干净，但对应的 PyPI / Docker 制品是恶意的，请以本页为准，安装 1.106.2