安德烈·卡帕西通过X平台披露,人工智能库litellm遭遇了PyPI(Python包索引)供应链攻击。据解释,用户仅需执行`pip install litellm`命令,便可能植入恶意代码,导致SSH密钥、AWS、GCP、Azure等主要云平台凭证、Kubernetes配置、Git凭证、环境变量、加密货币钱包、SSL私钥、CI/CD密钥以及数据库密码等敏感信息被盗。
攻击影响广泛
litellm是每月下载量约9700万次的热门软件包。有观点指出,此次攻击的影响不仅限于直接使用该库的开发者,还可能波及所有依赖litellm的项目(如dspy等)。含恶意代码的版本在发布后不到一小时即被发现并拦截。据称,攻击代码因存在缺陷,在卡勒姆·麦克马洪的设备上耗尽内存导致系统崩溃,这一异常现象使攻击行为得以暴露。
供应链安全引关注
卡帕西对此评价称:“供应链攻击是现代软件领域最具威胁性的问题之一。”他警告道,仅一次外部库安装操作,便可能使被篡改的软件包潜入依赖树的深层位置。鉴于此类风险,他正着力减少外部依赖,对于简单功能,倾向于直接利用大语言模型实现而非借助外部包。
此次事件再次表明,在开发、安全与运营全流程中,对开源依赖及软件包供应链安全性的审查需求正日益凸显。

资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种