近日，AI 开源生态突发重大安全事件。知名 Python 库litellm在 PyPI 平台被植入恶意代码，构成一次典型的供应链攻击。这次攻击无需用户主动调用，只要安装该库即可触发，影响范围极广，被安全专家称为"教科书级"投毒案例。
litellm 是一个广泛使用的 Python 库，提供统一接口调用 100+ 大模型 API（OpenAI、Anthropic、Vertex AI、Bedrock 等），在 AI 开发者中广泛使用，下载量达千万级别。此次事件给 AI 开源生态敲响了安全警钟，引发业界对开源依赖安全的深度反思。
一、攻击手法解析：.pth 文件植入恶意代码
攻击者通过向 litellm 包中植入恶意.pth 文件实现攻击。当用户安装该库时，恶意代码会自动运行，无需任何额外触发条件。这种攻击方式极其隐蔽，利用了 Python 包管理机制的特性，普通开发者很难察觉。
恶意代码的主要行为包括窃取敏感信息，如 API 密钥、环境变量、配置文件等。在触发时产生指数级进程分叉导致系统崩溃，从而暴露攻击行为。攻击者利用供应链漏洞，绕过 PyPI 审查上传毒包，影响广泛的 AI 工具链。
知名 AI 研究者 Andrej Karpathy 发帖警告此次事件，强调这是 AI 开源生态面临的重大安全威胁。他指出，随着 AI 开发对开源库依赖程度加深，供应链攻击的风险也在不断增加。开发者往往信任知名开源项目，缺乏足够的安全审查意识，这给了攻击者可乘之机。
二、影响范围：千万级 AI 开发者工具链受冲击
litellm 作为 AI 开发的核心依赖库，被广泛应用于各类 AI 项目和工具中。此次投毒事件影响范围包括多个层面，涉及个人开发者、企业用户和整个 AI 生态系统，潜在损失难以估量。
AI 应用开发者：使用 litellm 调用大模型 API 的个人开发者和企业团队，可能面临 API 密钥泄露风险。这些密钥一旦泄露，可能被用于未授权的 API 调用，造成直接经济损失。部分开发者的 API 密钥关联信用卡，风险更高。AI 工具链：依赖 litellm 作为底层库的各类 AI 工具和平台，可能存在连锁安全风险。上游依赖被污染，下游项目都会受到影响，形成多米诺骨牌效应。企业级部署：使用 litellm Proxy（AI Gateway）的企业用户，需要紧急检查系统安全性。企业环境中可能存储更多敏感数据，包括客户信息、商业机密等，风险更为严重。
由于攻击的隐蔽性和广泛性，安全专家建议所有安装过 litellm 的用户立即检查系统安全性，更换可能泄露的 API 密钥和凭证。企业用户应启动安全应急响应流程，评估潜在损失，必要时聘请专业安全团队进行渗透测试和安全加固。
三、应对措施与行业反思：共建安全生态
事件曝光后，litellm 团队迅速响应，发布安全更新修复漏洞。官方建议用户采取以下措施保障系统安全：
立即更新到最新安全版本，检查并删除可疑的.pth 文件。使用 pip install --upgrade litellm 命令更新到修复版本，验证安装包的完整性。更换凭证：更换所有可能泄露的 API 密钥、密码和其他敏感信息，包括 OpenAI、Anthropic、Vertex AI 等平台的 API 密钥。建议启用 API 密钥轮换机制，定期更换密钥降低风险。安全审计：对系统进行全面安全审计，检查是否有异常进程或数据泄露，查看系统日志寻找可疑活动。使用安全扫描工具检测潜在的恶意代码。验证来源：仅从官方 PyPI 渠道安装包，验证包的哈希值，避免使用第三方镜像。在 CI/CD 流程中添加依赖包安全检查，使用依赖锁定文件固定版本。
此次事件暴露了 AI 开源生态在供应链安全方面的系统性薄弱环节。包管理平台需要加强审核机制，引入自动化安全扫描。开源项目维护者应启用双因素认证，保护项目账户安全。开发者社区需提高安全意识，建立安全信息共享机制，形成社区联防体系。
安全专家呼吁，AI 开源社区需要建立更严格的包审核机制，加强供应链安全管理。只有产业链各方共同努力，才能构建安全可信的软件供应链生态，推动 AI 技术健康可持续发展。
