北京
分享至
LiteLLM 发生主密钥泄露，攻击者借此访问了 Agent Platform，并窃取了一个 GitHub CLI 的 OAuth 令牌。
拿到令牌后，攻击者劫持了发布流水线，向 PyPI 和 Docker Hub 推送了恶意版本。
这条链路的关键不在密钥本身，而在令牌：一个能操作发布流程的凭证，足以让下游分发的软件包变成攻击载荷。
对使用 LiteLLM 的团队来说，需要核查的是从 PyPI 和 Docker Hub 拉取的版本是否来自被劫持的发布环节。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
