https://www.szlanmin.com/tags/%E4%BE%9D%E8%B5%96%E7%AE%A1%E7%90%86/Recent content in 依赖管理 on 海风自语 · 技术与教育笔记Hugozh-CNThu, 22 Oct 2026 23:10:00 +0800https://www.szlanmin.com/tech/ai/ai-pipeline-trust/Thu, 22 Oct 2026 23:10:00 +0800https://www.szlanmin.com/tech/ai/ai-pipeline-trust/10 月 21 日挂在 PyPI 上的 litellm 1.107.0 带着官方有效签名，安装包里却藏着凭据窃取器与远控后门。SafeDep 披露与官方事故报告拼出了完整攻击链：三名开发者的命令行凭据、被绕过的分支保护、被改指向的发布 workflow，最后一步由官方流水线自己完成。这件事把依赖管理的一条旧线往前挪了一步：从锁版本，到验管道。