这是一件极其严肃的软件安全事件。 今天，Karpathy 发长推文警告全部开发者注意，GitHub 超过 4 万星，月下载量达 9700 万次的 Python 库LiteLLM 在 PyPI 上被投毒。 首先提请各位开发者检查自己的 LiteLLM 版本 ，含有恶意代码的版本号为 1.82.7 和 1.82.8，如果中招请尽快重新安装。 目前，被攻破的版本已被撤回，PyPI 隔离措施已解除。包维护人员正在处理后续影响。 这一事件影响非常广泛，可以被称之为教科书级别的供应链攻击。 熟悉 Python 的朋友们一定知道 PyPI 上软件包的重要性，没有 pip install 命令我们将寸步难行。 但这次 LiteLLM 的问题正出在 PyPI 软件包上。简单的 pip install litellm 就足以窃取你的 SSH 密钥、AWS/GCP/Azure 凭证、Kubernetes 配置、git 凭证、环境变量（包括你所有的 API 密钥）、shell 历史记录、加密货币钱包、SSL 私钥、CI/CD 机密以及数据库密码。 除去 L...