AI 工程师的开发环境与网关服务器，正在成为黑客供应链投毒的“头号提款机”。继今年 3 月 Trivy 流水线泄露后，拥有 61.7k Star 的 Ber… · @mylifcc · TwKit

@mylifcc

AI 工程师的开发环境与网关服务器，正在成为黑客供应链投毒的“头号提款机”。继今年 3 月 Trivy 流水线泄露后，拥有 61.7k Star 的 BerriAI/litellm 在 1.107.0 版本再次遭遇精准投毒。 拆解这次攻击底层的 3 个危险信号： 1️⃣ 构建产物级隐身（Build-Artifact Injection）：攻击者利用高仿仓库与 Maturin 的 data = "cook" 指令，只在 .whl 二进制包和 Docker 镜像（含当时指向该版本的 latest / main-stable）注入后门。只审 Git 代码的防线彻底失效。 2️⃣ 解释器级寄生：利用 cook.pth + http://sitecustomize.py 双启动钩子实现“见光死”触发。无需业务代码调用，只要容器或虚拟环境启动过任意 Python 进程，驻留内存的 RCE 守护进程和窃密线程就会瞬间激活。 3️⃣ AI 算力与工具链通杀：内置的 61KB privcollect 窃密器几乎是为 AI 团队量身定制——从本地 Cursor、Claude Code、Codex、Gemini、Cline 配置，到 /proc/<pid>/environ 环境变量，再到 LiteLLM 数据库里的 LiteLLM_CredentialsTable 上游模型总账，一网打尽。 目前 PyPI 与 Docker Hub 已紧急移除 1.107.0，但只要拉取过该版本，单纯删包重装毫无意义——必须重建环境并全量作废轮换 API Key 与云凭据。 把 100+ 大模型 Key 集中托管在单点开源 Proxy 里，你会怎么设计生产环境的密钥隔离与出网拦截？

曝光 927 · 评论 5 · 点赞 7 · 书签 3