#open source security

据 safedep.io 的安全报告，PyPI 上的 LiteLLM 1.107.0 被篡改，安装该版本会植入凭据窃取程序和后门。LiteLLM 是广泛使用的 LLM 访问库，因此直接安装该版本、或通过依赖解析引入该版本的开发者与 CI 环境是主要暴露面。该说法目前来自安全报告，所给材料未提供独立验证的感染范围或样本细节；使用该版本的团队应按凭据可能已泄露来处理。

IEEE Spectrum 的一篇分析文章提出，AI 辅助的漏洞发现正在把过去四十年累积的软件技术债集中暴露出来，并迫使维护者着手修复，而不是继续长期搁置。文章的核心论点是：这类工具让原本依赖人工审计、难以覆盖的旧代码缺陷被批量找出，修复工作因而从可选变为必须。需要注意的是，这是一篇观点与分析文章，并未给出可独立验证的测量数据或具体版本信息，其“被迫偿还”的判断仍属作者论证而非已证实的结果。