litellm

供应链再起波澜，LiteLLM 1.107.0 版本存隐患！

警惕！LiteLLM 最新版 1.107.0 存在供应链攻击风险，可窃取凭证与密钥。受影响用户请立即更新，并采取安全措施。#LiteLLM #供应链攻击

LiteLLM 恶意版本 1.107.0 供应链攻击解析

技术分析提示：LiteLLM 项目最新恶意版本 1.107.0 可窃取凭证与密钥，用户需警惕。受影响版本已移除，慢雾建议加强安全防护。#LiteLLM #供应链攻击 #安全措施

🚨 VỤ XÂM PHẠM CHUỖI CUNG ỨNG $LITELLM PHƠI BÀY MỐI ĐE DỌA CỬA HẬU NGHIÊM TRỌNG HƠN 🦈

Cuộc kiểm tra mới nhất của JFrog phát hiện phiên bản 1.107.0 của cổng mã nguồn mở LiteLLM đã bị cài mã độc ngay trên PyPI, với ba tệp ẩn được nhúng vào và kích hoạt mỗi khi Python khởi động. 📊 Mã độc đánh cắp mật khẩu trình duyệt, khóa SSH, thông tin xác thực đám mây và cả bí mật API của mô hình, sau đó gửi dữ liệu đến một tên miền giả mạo.

Các Docker image bị xâm nhập thông qua một kho lưu trữ giả có tên gần giống, chỉ khác một dấu gạch nối, trong khi mã nguồn chính thức trên GitHub vẫn an toàn. 🔍 Biện pháp khắc phục đòi hỏi phải dựng lại toàn bộ môi trường, thay mới thông tin xác thực và quay lại phiên bản 1.106.2 – chỉ gỡ cài đặt thôi sẽ không loại bỏ được cửa hậu. 💬 Bạn đã kiểm tra các công cụ AI của mình để tìm rủi ro chuỗi cung ứng tiềm ẩn chưa? 👇

⚠️ Đây không phải lời khuyên tài chính. Hãy luôn quản lý rủi ro của bạn. 🛡️

🏷️ #LITELLM #SupplyChain #Security #AI #Crypto

🔥 💎

Đọc xong loạt tin trong đêm nay vào sáng sớm, nói kết luận trước: rủi ro thực sự không nằm trên biểu đồ giá.

Suốt đêm qua gần như toàn là tin về sự cố bảo mật: GitLab có lỗ hổng RCE không cần xác thực với CVSS 10.0 (CVE-2026-110264), phạm vi ảnh hưởng có thể truy ngược đến các phiên bản tự triển khai từ năm 2014; LiteLLM lại bị cài mã độc, phiên bản 1.107.0 đánh cắp thông tin đăng nhập đám mây và AI Key ngay khi Python khởi chạy; ba nhánh phiên bản của Node, rò rỉ biến môi trường trên Railway, tiện ích ví Fearless bị cài mã độc suốt gần 20 tháng — ai từng dùng tốt nhất nên đổi ví ngay, đổi mật khẩu cũng vô ích. Câu “quần ma loạn vũ” của @evilcos thật chính xác.

Nhưng thị trường lại là một bức tranh khác: châu Á - Thái Bình Dương, châu Âu và Mỹ đồng loạt giảm, Nikkei −2.65%, Hang Seng −3.03%, Nasdaq −2.24%; hơn hai nghìn tỷ đô la bốc hơi chỉ trong một ngày, vậy mà $BTC vẫn vững vàng. Trong hai tuần qua, QQQ giảm mạnh như vậy mà BTC không giảm theo. Theo tôi, áp lực bán thực sự đã vơi đi nhiều; sau khi tiêu hóa xong các yếu tố FUD vĩ mô như chiến tranh và tăng lãi suất, dòng tiền sẽ tìm đến hướng ít trở ngại nhất. Với cổ phiếu công nghệ, tôi vẫn giữ nguyên nhận định: mỗi lần tăng đều chỉ là hồi phục, và mức hồi phục sau thấp hơn lần trước; nhất định phải nghiêm túc tuân thủ mức cắt lỗ.

Điều thực sự khiến tôi cảm thấy xu hướng đã thay đổi là cổ phiếu được đưa lên blockchain. Robinhood Stock Tokens hiện có thể dùng làm tài sản thế chấp trên Morpho để vay stablecoin; Paboxo biến TSLA và SPCX thành tài sản thế chấp; PendleLoop của Pendle hỗ trợ tăng đòn bẩy 2.6–4.2x cho cổ phiếu Mỹ được token hóa chỉ bằng một lần nhấn. Cuộc đua phát hành đã kết thúc, giờ là cuộc đua xem “có thể dùng nó như tiền hay không”. Cần tính toán kỹ khoản này: thanh khoản kém nhất vào ban đêm cũng là lúc mức thanh lý dễ bị xuyên thủng nhất.

Cách tôi tự xử lý rất đơn giản — vá lỗi trước cho ngăn xếp công nghệ, giữ tiền mặt trong danh mục, thử nghiệm sản phẩm mới với vị thế nhỏ. Lỗ hổng bảo mật và thanh lý do đòn bẩy, về bản chất là cùng một chuyện: bạn đã đặt niềm tin vào một đầu vào bên ngoài mà mình không thể kiểm soát.

$BTC #Openclaw #DeFi #LiteLLM