硅谷最大的两场戏剧交叉：LiteLLM 和 Delve |TechCrunch
作者：Julie Bort
这是硅谷现实生活中的一集，似乎是从 HBO 讽刺节目中摘录的。本周，在一个开源项目中发现了一些非常残暴的恶意软件Y组合毕业生莱特法学硕士。
LiteLLM 让开发人员可以轻松访问数百个 AI 模型，并提供支出管理等功能。这是一款突破性的热门游戏，每天的下载量高达 340 万次，根据斯尼克的说法是监控该事件的众多安全研究人员之一。该项目有GitHub 上有 4 万颗星和数千个叉子（那些使用它作为基础来改变并使其成为自己的叉子的人）。
恶意软件被发现，记录并披露由研究科学家卡勒姆·麦克马洪 (Callum McMahon)未来搜索，一家为网络研究提供人工智能代理的公司。该恶意软件通过“依赖项”潜入，即 LiteLLM 依赖的其他开源软件。然后它窃取了它所接触的所有内容的登录凭据。通过这些凭据，恶意软件可以访问更多开源包和帐户，以获取更多凭据，等等。
下载 LiteLLM 后，该恶意软件导致 McMahon 的计算机关闭。那件事促使他去调查并发现它。讽刺的是，恶意软件中的一个错误导致他的机器崩溃了。因为那段令人讨厌的代码设计得太草率了，他（以及著名人工智能研究员 Andrej Karpathy）得出结论，它一定是经过振动编码的。
LiteLLM 开发人员本周一直在不停地工作纠正这种情况，好消息是它被捕获的速度相对较快，可能在几个小时内。
这个传奇故事的另一部分是X 上的人们无法停止谈论。截至3月25日我们查看时，LiteLLM仍然自豪地在其网站上展示其已通过SOC2和ISO 27001两大安全合规认证。
但它使用了一家名为 Delve 的初创公司来进行这些认证。
Techcrunch 活动
加利福尼亚州旧金山 | 2026年10月13-15日
Delve 是由 Y Combinator 人工智能驱动的合规初创公司，被指控误导客户了解其真实合规情况通过涉嫌生成虚假数据并使用审核员对报告进行橡皮图章的方式来达到合规性。德尔夫否认了这些指控。
这里有一个细微差别值得理解。此类认证旨在表明公司拥有强大的安全策略来限制发生此类事件的可能性。认证不会自动防止像 LiteLLM 这样的公司受到恶意软件的攻击。虽然 SOC 2 应该涵盖有关软件依赖项的策略，但恶意软件仍然可能潜入。
即便如此，正如工程师 Gergely Orosz 指出的那样在X上当他看到人们在网上窃笑时，“哦该死，我以为这是个笑话。”……但不，LiteLLM *确实*是“由 Delve 保护的”。
至于 LiteLLM，首席执行官 Krrish Dholakia 对 Delve 的使用没有评论。他仍在忙于清理因成为攻击受害者而造成的不幸混乱。
– 我们当前的首要任务是与 Mandiant 一起积极调查。一旦我们的取证审查完成，我们将致力于与开发者社区分享所学到的技术经验教训，”他告诉 TechCrunch。