LiteLLM 1.107.0 为恶意包：AI 开发者的 5 分钟排查与一行配置规避

文章称 2026 年 10 月 21 日 PyPI 上出现恶意 litellm==1.107.0，为年内第二次被投毒，PyPI 已下架，1.106.2 安全。载荷会按名称搜寻 Claude、Cursor、Copilot、Gemini CLI、Codex CLI 等 AI 编码工具凭据。作者基于 GMO Flatt Security 的日文分析做英文转述，并补充让 uv 和 pip 拒绝全新发布版本的配置方法。

AI推荐理由 指出 litellm==1.107.0 被投毒并已由 PyPI 下架、1.106.2 安全，恶意载荷针对 Claude、Cursor、Copilot、Gemini CLI、Codex CLI 等 AI 编码工具凭据；给出 uv/pip 拒绝新发布版本的配置方法，对 LLM 开发者有直接操作价值。属二手转述 GMO Flatt Security 分析，时间线细节需回查原始报告。