https://x7peeps.com/%E5%AE%89%E5%85%A8/LiteLLM-1.107.0-%E6%8A%95%E6%AF%92%E4%BA%8B%E4%BB%B6%E5%85%A8%E5%A4%8D%E7%9B%98%E4%B8%A4%E5%B0%8F%E6%97%B6%E7%AA%97%E5%8F%A3%E4%B8%83%E6%AD%A5%E6%94%BB%E5%87%BB%E9%93%BE%E4%B8%89%E4%B8%AA%E4%BB%A4%E7%89%8C/index.htmlLiteLLM 1.107.0 投毒：两小时、七步、三个令牌 2026 年 10 月 21 日 11:39:51 UTC，PyPI 上出现了七个名为 litellm==1.107.0 的 wheel。到 13:23 前后，这些包被隔离下线，窗口期约一小时四十三分钟。在这两个小时里，任何执行 pip install litellm 而没有锁定版本、或者在同一个时间窗拉取过 litellm/litellm:latest 镜像的人，拿到的都不是官方构建产物——里面塞着会窃取凭据并加载远程代码执行工具的编译后恶意代码。Hugozh-CN