LiteLLM官方包被投毒了

LiteLLM 1.107.0 的 PyPI 包被投毒，装上后每个 Python 进程启动都会跑一个窃密器：偷 SSH 密钥、云凭证、浏览器密码、各家 AI 工具的 token，连 LiteLLM 代理数据库里的模型密钥都 dump；还有个后门每小时从 GitHub 拉新代码执行。PyPI 已下架该版本，GitHub 源码本身没被污染——装过 1.107.0 的赶紧查 site-packages 里有没有 cook.py。
来源：https://safedep.io/litellm-pypi- ... l-stealer-backdoor/