一名开发者记录了其对PyPI上LiteLLM软件包（v1.82.8版本）感染恶意软件的实时响应过程。恶意代码隐藏在软件包的.pth文件中，安装时会执行经过base64编码的载荷。该事件凸显了AI/LLM生态系统中的供应链安全风险，以及使用Claude等AI助手分析和报告此类威胁的实践。
背景
软件供应链攻击（将恶意代码注入开源软件包）对开发者和组织构成日益严重的威胁。由于在AI/ML社区中的广泛使用，PyPI（Python软件包索引）是此类攻击的常见目标。
- 来源
- Simon Willison
- 发布时间
- 2026年3月27日 07:58
- 评分
- 7.0 / 10