LiteLLM 1.107.0 發布遭植入惡意程式

主要來源公告：2026-10-21

事件日期：2026-10-21

本站刊登：2026-10-24 · 內容更新：2026-10-24（香港日期）

情報摘要

LiteLLM 確認 10 月 21 日發布的 PyPI 1.107.0 及部分容器映像含憑證竊取及遠端程式碼載入功能，受影響產物已下架。10 月 23 日正式調查取代早期推測；私人企業登錄庫不受此次事件影響。

LiteLLM 1.107.0；指定時段的 v1.107.0、latest、main-latest、main-stable 容器映像

使用 LiteLLM 的香港開發、AI 平台及維運團隊

核對版本、映像 digest 及部署時間；若曾執行受影響產物，按入侵事故處理，由乾淨環境重建並撤銷相關憑證。勿先在可疑環境執行 pip，以免再次觸發惡意程式。

編輯風險分級，並非官方 CVSS 評分。

香港受影響情況未獲證實。