Karpathy 揭露 litellm PyPI 供应链攻击：pip install 即可窃取敏感凭证
Andrej Karpathy 披露 litellm 发生 PyPI 供应链攻击，用户执行简单的 `pip install litellm` 即导致 SSH 密钥、AWS/GCP/Azure 凭证、Kubernetes 配置、Git 凭证、环境变量（含所有 API 密钥）、Shell 历史、加密钱包、SSL 私钥、CI/CD 机密及数据库信息被外泄。
AI 推荐理由：Karpathy 指出 litellm 供应链攻击仅需 pip install 即可窃取 SSH、云凭证及 API 密钥，揭示了依赖库安装的高风险面。