2026 年 3 月 31 日，周下载量过亿的 npm 包 axios 被投毒，两小时内所有 npm install 的机器可能已沦陷。这次事件再次说明：你写的代码也许没有 bug，但你装的依赖里可能藏着一扇后门。

2026年3月，LiteLLM 遭遇供应链投毒，恶意包窃取用户密钥和云凭证。本文从 .pth 文件机制、漏洞根因、密钥不落盘理念到业界通用方案，聊聊 AI 时代的密钥安全。