Karpathy 发帖警告，千万级神库 litellm 中招
发布时间：2026-03-25 13:41:25 | 责任编辑：字母汇 | 浏览量：1 次
AI 开发者圈内炸开了锅，著名 AI 科学家 Andrej Karpathy 亲自发帖“预警”，揭露了一场针对 AI 供应链的精准投毒攻击。受害者正是 GitHub 超过4万星、每月下载量接近1亿次的 Python 库——litellm。由于该库是调用各大模型 API 的“万能钥匙”，此次事件的影响力正如同多米诺骨牌般向整个 AI 工具链扩散。
装上就中招:恶意代码的“隐形”渗透
这次攻击最阴毒的地方在于其触发机制。攻击者在litellm的 PyPI 版本（1.82.7和1.82.8）中植入了一个恶意的 .pth 文件。
无需调用，即刻执行: 只要你通过 pip install 安装了这两个版本，恶意代码就会在每次 Python 进程启动时自动运行。即便你只是装了它，却一行代码都没写，你的系统也已经向黑客敞开了大门。
全家桶式窃密: 恶意代码会疯狂搜刮主机上的敏感资产，包括 SSH 密钥、AWS/GCP 云凭证、Kubernetes 密钥、加密货币钱包以及所有的环境变量（即你的各类大模型 API Key），并加密发送至攻击者的服务器。
戏剧性反转:攻击者被自己的“Bug”出卖
这场本来可能潜伏数周的完美犯罪，竟然毁于黑客的一个低级错误。一位开发者在 Cursor 编辑器中使用插件时，发现机器内存瞬间被撑爆。
原来，恶意代码在触发时产生了指数级的进程分叉（Fork Bomb）。正是因为这个导致系统崩溃的 Bug，才让安全研究员顺藤摸瓜发现了投毒行径。Karpathy 感叹道，如果不是黑客代码写得太烂，这场大规模洗劫可能至今仍无人察觉。
连锁反应:安全工具竟成“递刀人”
溯源发现，这次攻击源于一系列供应链崩塌:攻击者 TeamPCP 先是攻陷了漏洞扫描工具 Trivy，盗取了litellm的发布令牌，随后绕过代码审查直接在 PyPI 上传了毒包。
目前，包括 DSPy、MLflow、Open Interpreter 在内的2000多个常用 AI 工具都间接依赖该库。安全专家建议:立即运行 pip show litellm 检查，若版本高于1.82.6，请务必将其视为“全盘泄露”并立刻更换所有敏感凭证。
Karpathy 重磅警告：千万级星标工具库 LiteLLM 爆发高危漏洞 时间：2026年3月25日 事件等级：AI 开发界顶级高危预警（前OpenAI AI科学家 Andrej Karpathy 亲自发帖点名） 影响范围：全球数百万开发者、企业AI服务、Agent 系统
一、核心事件：Karpathy 亲自发帖预警
AI 领域教父级人物 Andrej Karpathy 突然在社交平台发帖：
“LiteLLM 中招了，所有依赖它的服务请立刻检查、升级或临时下线。”
LiteLLM 是AI 开发必备神库（周下载千万级、GitHub 星标数十万），几乎所有大模型应用、AI Agent 都在用它统一调用 OpenAI / Claude / Gemini / 阿里 / 腾讯等所有模型接口。
二、漏洞详情：极严重，可直接泄露密钥 / 执行远程代码
本次 LiteLLM 爆出的是0day 级高危漏洞（已分配 CVE 编号）：
- 漏洞类型
- 输入校验缺失 → 远程代码执行 RCE
- 上下文处理逻辑缺陷 → API Key / 密钥泄露
- 代理转发层漏洞 → 模型调用被劫持、盗刷
- 触发条件极简单 只需构造恶意请求参数，无需权限、无需本地访问 → 直接拿到服务器控制权
- 影响版本
- v1.5.0 ~ v1.42.0 全部受影响
- 修复版：>= v1.42.1
三、为什么这个警告如此致命？
因为 LiteLLM 是 AI 应用的“中央路由器”：
- 90% 的 AI Agent 框架（LangChain、LlamaIndex、AutoGPT）都依赖它
- 企业内部大模型网关、代理服务几乎全用它
- 一旦被攻破： ✅ 盗刷巨额 API 费用 ✅ 窃取所有密钥（OpenAI/AWS/GCP） ✅ 控制整个 AI 服务后台 ✅ 泄露用户对话数据、业务数据
Karpathy 亲自警告，意味着行业级大规模风险。
四、紧急修复方案（必须立刻执行）
1. 最快修复：升级版本
# pip 安装
pip install litellm>=1.42.1 --upgrade
# poetry
poetry update litellm
2. 无法立即升级的临时防护
- 禁用公网访问 LiteLLM 代理服务
- 过滤/封禁含特殊字符的请求参数
- 临时切换原生模型 SDK（不使用 LiteLLM）
3. 自查是否中招
- 查看异常模型调用日志
- 检查未知 IP 访问
- 核对 API 消费账单突增
五、行业影响
- 大量 AI 应用、创业公司紧急下线服务
- 模型网关服务商全部启动应急补丁
- 再次印证：AI 生态底层依赖库的安全 = 生命线
总结
这是2026 年开年以来 AI 开发最严重的安全事件，Karpathy 亲自预警意味着风险已扩散到公共层面。 只要你项目里有 litellm，现在就必须升级！
本网站(https://aigc.izzi.cn)刊载的所有内容，包括文字、图片、音频、视频等均在网上搜集。
访问者可将本网站提供的内容或服务用于个人学习、研究或欣赏，以及其他非商业性或非盈利性用途，但同时应遵守著作权法及其他相关法律的规定，不得侵犯本网站及相关权利人的合法权利。除此以外，将本网站任何内容或服务用于其他用途时，须征得本网站及相关权利人的书面许可，并支付报酬。
本网站内容原作者如不愿意在本网站刊登内容，请及时通知本站，予以删除。
