litellm

La chaîne d’approvisionnement est de nouveau menacée : la version 1.107.0 de LiteLLM présente des risques !

Attention ! La dernière version de LiteLLM, la 1.107.0, présente un risque d’attaque de la chaîne d’approvisionnement et pourrait dérober des identifiants et des clés. Les utilisateurs concernés doivent effectuer immédiatement la mise à jour et prendre des mesures de sécurité.#LiteLLM #AttaqueDeLaChaîneDApprovisionnement

LiteLLM 恶意版本 1.107.0 供应链攻击解析

技术分析提示：LiteLLM 项目最新恶意版本 1.107.0 可窃取凭证与密钥，用户需警惕。受影响版本已移除，慢雾建议加强安全防护。#LiteLLM #供应链攻击 #安全措施

🚨 $LITELLM SUPPLY‑CHAIN BREACH REVEALS DEEPER BACKDOOR THREAT 🦈

JFrog’s latest audit uncovered that version 1.107.0 of the open‑source gateway LiteLLM was poisoned at the PyPI level, embedding three stealth files that activate on any Python start‑up. 📊 The malicious payload siphons browser passwords, SSH keys, cloud credentials and even model API secrets, then reports to a spoofed domain.

Docker images were compromised via a counterfeit repo with a single‑hyphen typo, while the official GitHub source remained clean. 🔍 Remediation mandates a full environment rebuild, credential rotation, and a rollback to 1.106.2 – a simple uninstall won’t cleanse the backdoor. 💬 Have you audited your AI tooling for hidden supply‑chain risks? 👇

⚠️ Not financial advice. Always manage your risk. 🛡️

🏷️ #LITELLM #SupplyChain #Security #AI #Crypto

🔥 💎

Après avoir pris connaissance des nouvelles de la nuit ce matin, voici d’abord la conclusion : le vrai risque ne se trouve pas sur le graphique des prix.

La nuit dernière a presque entièrement été dominée par les incidents de sécurité : une RCE non autorisée avec un score CVSS de 10,0 dans GitLab (CVE-2026-110264), qui touche des instances auto-hébergées remontant à 2014 ; LiteLLM a de nouveau été compromis, et la version 1.107.0 dérobe directement les identifiants cloud et les clés d’IA au démarrage de Python ; trois branches de versions de Node, une fuite de variables d’environnement sur Railway, et une extension de portefeuille Fearless piégée depuis près de 20 mois — si vous l’avez utilisée, mieux vaut changer de portefeuille ; changer de mot de passe ne sert à rien. La formule d’@evilcos, « c’est le chaos total », est très juste.

Mais le marché, lui, offre un tout autre tableau : l’Asie-Pacifique, l’Europe et les États-Unis reculent de concert, avec le Nikkei à −2,65 %, le Hang Seng à −3,03 % et le Nasdaq à −2,24 %. Plus de 2 000 milliards de dollars se sont évaporés en une journée, et pourtant $BTC tient bon. Ces deux dernières semaines, alors que le QQQ chutait, le BTC n’a pas suivi. J’y vois le signe qu’il ne reste vraiment plus beaucoup de vendeurs. Une fois digérées les incertitudes macroéconomiques liées à la guerre et aux hausses de taux, les capitaux iront là où la résistance est la plus faible. Pour les valeurs technologiques, je maintiens mon analyse : chaque hausse n’est qu’un rebond, et chaque rebond est plus faible que le précédent ; il faut absolument respecter ses stops.

Ce qui me donne vraiment l’impression que la tendance a changé, c’est la tokenisation des actions. Les Robinhood Stock Tokens peuvent désormais servir de garantie sur Morpho pour emprunter des stablecoins ; Paboxo a fait de TSLA et SPCX des actifs éligibles en garantie ; et PendleLoop, de Pendle, permet d’appliquer en un clic un effet de levier de 2,6 à 4,2x aux actions américaines tokenisées. La course à l’émission est terminée : la compétition porte désormais sur leur capacité à « servir de monnaie ». Il faut bien faire ses calculs : quand la liquidité est au plus bas, en pleine nuit, les seuils de liquidation sont plus faciles à franchir.

Ma stratégie est simple : d’abord corriger les failles de la pile technique, garder des liquidités avant tout, et tester les nouveautés avec de petites positions. Les failles de sécurité et les liquidations dues à l’effet de levier relèvent au fond du même problème : vous avez fait confiance à une donnée externe que vous ne contrôlez pas.

$BTC #Openclaw #DeFi #LiteLLM