Отравленный релиз LiteLLM два часа крал учётные данные, пока PyPI его не убрал (safedep.io)
LiteLLM 1.107.0 появился на PyPI 21 октября в 11:39 UTC и внутри каждого процесса Python на машине запускал стилер учётных данных. Скрытый демон затем раз в час звонил домой за новым кодом, а к 13:40 релиз уже убрали.
Помогла бы задержка установки зависимостей? Один специалист по безопасности цепочки поставок из треда считает, что достаточно и 24 часов. Скептик уверен, что медианная атака остаётся незамеченной месяцами.
Войдите, чтобы сохранить