从自建 LiteLLM 代理迁出：2026 年安全公告与配置对照

LiteLLM 2026 年发布了哪些安全公告？

截至 2026-10-28，LiteLLM 自己的公告页把它为 litellm（pip 包）发布的 2026 年公告中的五份评为 Critical。下表按时间倒序列出这五份，再加上 GitHub Advisory Database 里那份 PyPI 恶意版本公告，以及每份公告写明的修复版本。评级以 LiteLLM 公告页为准：GitHub Advisory Database 对部分公告的评级不同（例如把 GHSA-7hp6-4w63-5g45 评为 High）。BerriAI/litellm 的公告页还有评级为 High、Moderate、Low 的其他公告，请按你的版本查完整列表，不要只看这张表。

公告原文链接

• GHSA-w4c7-34wj-hqm8：https://github.com/BerriAI/litellm/security/advisories/GHSA-w4c7-34wj-hqm8
• GHSA-7hp6-4w63-5g45：https://github.com/BerriAI/litellm/security/advisories/GHSA-7hp6-4w63-5g45
• GHSA-4xpc-pv4p-pm3w：https://github.com/BerriAI/litellm/security/advisories/GHSA-4xpc-pv4p-pm3w
• GHSA-r75f-5x8p-qvmc：https://github.com/BerriAI/litellm/security/advisories/GHSA-r75f-5x8p-qvmc
• GHSA-jjhc-v7c2-5hh6：https://github.com/BerriAI/litellm/security/advisories/GHSA-jjhc-v7c2-5hh6
• GHSA-5mg7-485q-xm76：https://github.com/advisories/GHSA-5mg7-485q-xm76
• LiteLLM 2026 年 3 月安全通告：https://docs.litellm.ai/blog/security-update-march-2026
• LiteLLM 全部安全公告：https://github.com/BerriAI/litellm/security/advisories

代理还在运行时，先做这几件事

把流量迁走并不会修补仍在运行的代理，所以先按公告本身给出的步骤处理：

• 在每台代理主机、CI 机器和容器镜像上核对已安装的 litellm 版本是否落在受影响范围内，并升级到修复版本。
• 如果曾经安装或运行过 1.82.7 或 1.82.8，公告要求假定该环境里能拿到的所有凭据都可能已泄露，并全部轮换；LiteLLM 的通告还要求在 site-packages 里查找 litellm_init.pth。
• 针对 GHSA-w4c7-34wj-hqm8，公告给出的临时缓解办法是：在入口处拦截带有公告所列回调字段的请求体，并把代理的出站流量限制在你配置的模型端点。
• 针对 GHSA-7hp6-4w63-5g45，公告给出的临时缓解办法是设置 EXPERIMENTAL_UI_LOGIN=false，但这也会让 CLI SSO 和 Claude Code 网关登录失效。
• 公告还建议尽量不要把代理直接暴露在公网上。

LiteLLM 的每项设置在 Router One 上对应什么

LiteLLM 代理把模型别名、各供应商 Key、重试和预算放在 config.yaml 和数据库里。迁到 Router One 后，这些大多变成请求本身的参数和 API Key 上的设置：

第 1 步：整理现有 config.yaml

列出客户端会发的每个 model_name，以及它背后的 litellm_params.model，这份清单就是别名到目录 ID 的对照表。litellm_params.model 填的是各厂商自己的 ID，不一定等于目录 ID：下面配置里 Anthropic 的 claude-sonnet-5-5，在 Router One 目录里是 anthropic/claude-sonnet-5.5。一份典型的代理配置：

model_list:
  - model_name: gpt-main
    litellm_params:
      model: openai/gpt-5.6-sol
      api_key: os.environ/GPT_PROVIDER_KEY
  - model_name: claude-main
    litellm_params:
      model: anthropic/claude-sonnet-5-5
      api_key: os.environ/CLAUDE_PROVIDER_KEY
litellm_settings:
  num_retries: 2
general_settings:
  master_key: os.environ/LITELLM_MASTER_KEY

第 2 步：为每个别名找到目录 ID

Router One 没有别名表，每个 model_name 都要换成客户端直接发送的目录 ID。ID 请从 /models 或 GET /v1/models 原样复制。大多数 ID 带厂商前缀（openai/、anthropic/、google/），也有不带前缀的（如 deepseek-v4.1-flash）。网关能识别大多数官方裸名作为别名，但不是全部，未知名称会返回 404，所以请用完整 ID。

curl https://api.router.one/v1/models \
  -H "Authorization: Bearer $ROUTER_ONE_API_KEY"

第 3 步：在客户端改 base URL、Key 和模型

原来通过 OpenAI SDK 调代理的客户端，代码结构不用动，只改 base URL、Key 和 model 的值：

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.router.one/v1",  # was http://0.0.0.0:4000
    api_key=os.environ["ROUTER_ONE_API_KEY"],  # was the LiteLLM key
)

resp = client.chat.completions.create(
    model="openai/gpt-5.6-sol",  # was the alias "gpt-main"
    messages=[{"role": "user", "content": "Reply with OK"}],
)
print(resp.choices[0].message.content)

如果继续把 litellm Python 包当客户端用

有些应用不走代理，而是在进程内调用 litellm.completion()。这种用法也能接 Router One：api_base 填带 /v1 的 base URL，model 填 openai/ 加目录 ID。LiteLLM 只在第一个斜杠处切分，所以 openai/openai/gpt-5.6-sol 实际发送的是 openai/gpt-5.6-sol，openai/anthropic/claude-sonnet-5.5 发送的是 anthropic/claude-sonnet-5.5。上面的公告都是针对这个包发布的：多数涉及代理服务端，恶意版本那份则覆盖任何装过 1.82.7 或 1.82.8 的环境，所以请把版本锁定在受影响范围之外。

第 4 步：在日志里核对，然后下线代理

每个迁过来的模型各发一个请求，在控制台 → 日志里逐条找到，核对模型 ID、tokens、费用和状态。全部流量都出现在日志里之后，停掉代理，并吊销它保存过的各供应商 Key，不要在一台不再维护的主机上留下任何副本。

常见问题