95億次。這是LiteLLM過去一年的下載量，一個幫開發(fā)者統(tǒng)一管理各大語言模型接口的工具庫。上周，這個數(shù)字成了安全圈的黑色幽默——版本1.82.7和1.82.8被植入后門，攻擊者TeamPCP用兩版迭代，把"偷密鑰"做成了自動化流水線。

Endor Labs和JFrog的安全團(tuán)隊發(fā)現(xiàn)，惡意代碼根本沒走GitHub倉庫的正門。它直接混進(jìn)了PyPI的分發(fā)包，像快遞包裹里塞了夾層。上游代碼干凈得像個樣板間，用戶pip install下來的卻是精裝修過的"兇宅"。

12行代碼的"靜音啟動"

1.82.7版本的攻擊很克制。攻擊者在litellm/proxy/proxy_server.py里塞了一段base64編碼的載荷，12行，模塊導(dǎo)入時靜默觸發(fā)。沒有彈窗，沒有日志，你的Python腳本跑起來，后門就跟著啟動了。

這種設(shè)計像是測試水溫——看看能不能瞞過基礎(chǔ)的安全掃描。但TeamPCP沒給防御方太多反應(yīng)時間。1.82.8版本直接升級成"系統(tǒng)級寄生"：在wheel包根目錄扔了一個litellm_init.pth文件。

Python的.site-packages里但凡有.pth文件，啟動時自動執(zhí)行。這意味著哪怕你的代碼里從沒寫過import litellm，只要這個庫躺在環(huán)境里，后門就會隨Python解釋器一起蘇醒。

打個比方：以前是小偷等你開門進(jìn)屋，現(xiàn)在是你每次路過樓道，他就已經(jīng)蹲在墻角了。

三階段收割：從密鑰到K8s集群

載荷激活后，攻擊進(jìn)入流水線模式。第一階段，釋放一個憑證收割器，掃描范圍堪稱開發(fā)者資產(chǎn)的"全家福"：SSH私鑰、AWS/GCP/Azure的訪問令牌、數(shù)據(jù)庫連接字符串、加密貨幣錢包文件。

harvested數(shù)據(jù)用AES-256-CBC混合RSA-4096加密，打包成tpcp.tar.gz，發(fā)往一個偽裝成合法項目資源的攻擊者域名。加密方案的專業(yè)程度，讓這次攻擊看起來不像臨時起意，而像有備而來的工業(yè)級操作。

第二階段瞄準(zhǔn)Kubernetes環(huán)境。如果檢測到K8s服務(wù)賬戶令牌，惡意代碼會快速枚舉集群所有節(jié)點，然后向每個節(jié)點部署特權(quán)alpine容器，掛載host級訪問權(quán)限。這不是偷數(shù)據(jù)了，是在你的基礎(chǔ)設(shè)施里搭了個臨時指揮部。

第三階段建立持久化。一個偽裝成系統(tǒng)遙測服務(wù)的systemd用戶服務(wù)被寫入系統(tǒng)，持續(xù)輪詢二級命令控制服務(wù)器，等待下載執(zhí)行更多二進(jìn)制文件。后門裝成了"系統(tǒng)自帶"，重啟也不會消失。

一個月連破5個生態(tài)：TeamPCP的"基礎(chǔ)設(shè)施狩獵"

這次LiteLLM事件不是孤例。過去30天，TeamPCP已經(jīng)拿下GitHub Actions、Docker Hub、npm、OpenVSX五個生態(tài)。攻擊目標(biāo)高度聚焦：Aqua Security的Trivy、Checkmarx的KICS這類安全工具和基礎(chǔ)設(shè)施組件。

選這些目標(biāo)有講究。安全工具通常運行在CI/CD流水線里，權(quán)限高、接觸秘密多、環(huán)境敏感。攻進(jìn)去一次，等于在軟件生產(chǎn)的血管里插了根導(dǎo)管。

JFrog的研究人員指出，這種"基礎(chǔ)設(shè)施狩獵"策略正在取代傳統(tǒng)的終端用戶攻擊。與其釣魚100個普通開發(fā)者，不如直接污染一個被百萬開發(fā)者依賴的工具庫。供應(yīng)鏈的乘數(shù)效應(yīng)，讓攻擊ROI（投資回報率）呈指數(shù)級放大。

TeamPCP的運作方式也有跡可循：先潛伏觀察項目維護(hù)者的發(fā)布節(jié)奏，然后在版本迭代的間隙窗口快速投毒，利用PyPI等平臺的信任機(jī)制完成分發(fā)。 1.82.7到1.82.8的連續(xù)兩版攻擊，說明他們對LiteLLM的發(fā)布流程做過功課。

目前確認(rèn)的最后一個干凈版本是1.82.6。如果你在過去兩周內(nèi)更新過LiteLLM，現(xiàn)在需要做的是：凍結(jié)環(huán)境、檢查pip list里的版本號、審計所有可能接觸過該環(huán)境的密鑰有效期。

PyPI官方已經(jīng)下架了這兩個惡意版本，但供應(yīng)鏈攻擊的麻煩在于"已經(jīng)發(fā)生的無法撤銷"。那些已經(jīng)被部署到生產(chǎn)環(huán)境的1.82.7/1.82.8，不會因為倉庫里的刪除而自動失效。

安全團(tuán)隊的建議很直接：假設(shè)你已經(jīng)暴露，而不是假設(shè)你僥幸逃脫。輪換所有可能受影響的憑證，檢查K8s集群里的異常容器和特權(quán)提升記錄，查找任何指向tpcp.tar.gz或相關(guān)C2域名的網(wǎng)絡(luò)流量。

這次事件暴露了一個結(jié)構(gòu)性困境。LiteLLM本身是個極其實用的工具——它把OpenAI、Anthropic、Azure、本地模型等幾十種接口抽象成統(tǒng)一的調(diào)用方式，省了大量適配代碼。但正是這種"被廣泛依賴"，讓它成了攻擊者的優(yōu)質(zhì)標(biāo)的。

開源生態(tài)的信任模型建立在"代碼公開即可審計"的假設(shè)上，但現(xiàn)實中，pip install拉下來的是編譯后的wheel，和GitHub上的源碼之間隔著一層轉(zhuǎn)換。TeamPCP exploit的正是這個斷層：倉庫干凈，分發(fā)包有毒，大多數(shù)用戶永遠(yuǎn)不會發(fā)現(xiàn)差異。

Endor Labs在分析報告中提到，他們是在對PyPI新發(fā)布包進(jìn)行自動化掃描時觸發(fā)的告警。這種"發(fā)布即掃描"的機(jī)制，正在成為供應(yīng)鏈安全的新基準(zhǔn)。但自動化掃描能 catching 的是已知模式，面對base64編碼+自定義加密+多階段載荷的組合，漏報率依然可觀。

更有趣的是攻擊者的"產(chǎn)品思維"。1.82.7到1.82.8的迭代，像是一個MVP（最小可行產(chǎn)品）到完整功能的演進(jìn)：先驗證核心機(jī)制可行，再解決"被導(dǎo)入才能觸發(fā)"的局限，最終達(dá)成"環(huán)境存在即中招"的完全體。這種迭代速度，很多正經(jīng)軟件團(tuán)隊都自嘆不如。

TeamPCP的命名來源尚無定論，但安全社區(qū)注意到他們的攻擊載荷中反復(fù)出現(xiàn)"tpcp"標(biāo)識。這個標(biāo)簽像是一種簽名，或者說，一種對追蹤者的輕蔑——知道你們在分析，不介意留下痕跡。

對于依賴LiteLLM的組織，現(xiàn)在最緊迫的問題是：你的環(huán)境里有沒有跑著這兩個版本？更深層的問題是：當(dāng)工具鏈的每個環(huán)節(jié)都可能成為攻擊面，"信任但驗證"的成本，團(tuán)隊真的承擔(dān)得起嗎？