#pypi

ディープダイブ

脅威アクターは漏えいしたまま失効されていないマスターキーでLiteLLMのリリースパイプラインを乗っ取り、2026年10月21日に悪意ある1.107.0をPyPIとDockerへ公開しました。wheelはPythonの起動ファイルを設置し、LiteLLMを一度もインポートしなくても認証情報を盗み、1時間ごとに動くバックドアを開きます。PyPIは1時間44分後に隔離しました。インストールした環境は再構築し、到達可能な全シークレットをローテーションする必要があります。