一周 AI 安全：LiteLLM 安装包被投毒、模型被当成攻击引擎、智能体辅助入侵

一、五类风险与本周的事件形态

AI 网关供应链投毒
模型与云计费资源劫持
AI 编码工具凭据泄露
智能体辅助入侵
AI 应用组件漏洞

涉及的具体形态是：恶意安装包投递、第三方模型 API 密钥暴露、跨租户应用凭据滥用、未授权模型调用、代码注入。这五类有一个共同点——攻击面不在模型里，在模型周围。

二、LiteLLM 1.107.0：启动即执行，每小时回连一次

形态：恶意 wheel 安装包加入 Python 启动钩子，应用尚未 import LiteLLM 时就会执行。
行为：收集云服务与 AI 开发环境中的凭据（secret），并提供每小时检查一次的远程代码加载通道。
扩散：受影响的还包括对应的官方 Docker 镜像。
处置：JFrog 在 10 月 22 日更新称厂商已控制事件，被污染的发布版本与镜像已被下架（PyPI 已移除 1.107.0）。

对我们的含义很直接：AI 网关是本地部署的必经组件（统一 Key、路由、计量、审计），它的依赖链就是攻击面。多数机房把它当基础设施装，恰恰少了一道校验。

三、模型被当成攻击推理引擎：Skynet 代理指令

Symantec 通过 AI 蜜罐捕获了一套攻击代理指令，设计目标是寻找未受保护的大语言模型端点，把别人的模型当作攻击推理引擎：用越狱提示要求模型协助扫描、凭据收集、漏洞利用与挖矿；其中的 Skynet 模式允许长时间无人值守运行，计算费用由模型所有者承担。

口径要严谨：研究揭示的是捕获到的攻击请求与工具设计，不能据此认定全部预设动作都已成功执行。但「你的模型在替别人干活、账单记在你头上」这件事，本身已经足够成为部署方的检查项。

四、另外三个已披露案例

Storm-0940 滥用 ARTEX 加速 ConnectWise 供应链攻击（Microsoft Threat Intelligence，2026-10-21）：针对多租户云备份应用提供商及其下游客户，IOC 中包含 144.172.64[.]128，用于下游登录与 Graph API 活动。
日本某组织遭 AI 辅助 API 攻击、APK 逆向暴露后端入口：攻击者测试并利用了 SSRF 类漏洞，从移动端逆向找到后端入口。
OpenCode Console 安全事件：使关联的第三方模型服务密钥面临泄露风险——AI 编码工具正在成为凭据泄露的新入口。

五、本地部署方的五条自查

依赖锁版本 + 校验哈希：生产环境从私有镜像源装包，`pip install` 不许漂移，装完核一遍哈希。
AI 网关单独网段：出网策略白名单化，别让网关能直连任意公网地址。
Key 分级与轮换：模型 API Key 与云凭据分开存、按项目隔离、定期轮换，别用一个 Key 打通所有服务。
端点鉴权与配额告警：给模型端点加鉴权与调用配额，异常调用量要能告警——Skynet 模式靠的就是「没人管」的端点。
全量审计日志：谁在什么时候调了哪个模型、花了多少 token，日志留存是事后追查的唯一依据。

机悟的建议：AI 网关是三件套里最容易被忽略的那一件

私有化部署常被问「模型跑多快」，很少有人问「网关怎么防」。四件事按顺序做：

供应链：依赖锁版本、私有源、镜像哈希校验，升级走灰度。
出网管控：网关出网白名单，模型下载与更新走内部代理。
凭据：Key 分级、隔离、轮换，员工不持有长期 Key。
可观测：端点鉴权、配额、异常告警与全量审计日志。
这四条做完，再谈性能——顺序反了，性能越好，风险越大。

数据来源：360 威胁情报中心《AI 安全专题周报（20261023）》，报告编号 TIC-202610-AI04、周期 2026-10-17 至 10-23；周报引用的原始来源包括 JFrog（2026-10-22 更新）、Microsoft Threat Intelligence（2026-10-21）、Symantec。IOC 中的恶意地址已做方括号处理，请勿直接访问。本文仅转述公开报道，不评判任何企业与产品，不构成投资建议。