過去三天的素材同時出現代理基礎設施的擴張與部署邊界的收緊：NVIDIA 和 Anthropic 公開讓代理執行、驗證程式碼的方法，LiteLLM 的特定發布則被報告包含竊取憑證的程式與遠端執行後門；瑞典政府機關則選擇封鎖未經核准的 AI 服務。這些事件涉及的不是同一種風險，來源也分別是專案文件、安全公司報告、企業研究文章與公共廣播調查。

🔥 LiteLLM 1.107.0 PyPI 發布被植入竊密程式與後門

SafeDep 報告指出，LiteLLM 1.107.0 的 PyPI 發布在 site-packages 安裝 cook.pth、cook.py 與 sitecustomize.py。Python 啟動時會由 .pth 載入竊密程式；報告列出的收集目標包括瀏覽器密碼與歷史、SSH 金鑰、雲端憑證、CI/CD 機密、AI 開發工具設定、環境變數與雲端執行個體 metadata。所有七個 Linux、macOS 與 Windows wheel 都被列為受影響版本。

另一個植入檔案會每小時從 GitHub 讀取網域設定，下載並執行第二階段程式。SafeDep 描述資料會以 AES-256-CBC 加密，再以內嵌的 RSA 公鑰包裝金鑰後傳送。LiteLLM 的事件報告則表示，攻擊者取得三名開發者的 GitHub CLI 憑證，並以組織 owner 權限繞過 branch protection，把私人發布流程指向外觀相似的 repository。

PyPI 在 2026 年 10 月 21 日 13:23 UTC 移除 1.107.0；SafeDep 將 1.106.2、1.107.0rc1 與 1.107.0rc2 列為未發現同樣植入物的版本。使用過受影響版本的部署者仍需依 LiteLLM 事件報告檢查主機、憑證與網路指標；版本移除本身不會撤銷已被讀取的秘密。

NVIDIA OpenShell 以核心層級政策限制自主代理

NVIDIA 公開 Apache 2.0 授權的 OpenShell，讓代理在沙盒中讀取檔案、安裝套件、呼叫 API 與使用受限憑證。專案文件描述兩層機制：在執行期間對檔案存取、system call 與網路連線進行核心層級政策執行，並在政策變更套用前，以形式化工具檢查變更會放行的範圍。

政策可指定代理能接觸的檔案、網路端點與程序；provider 憑證也可以限制只能連到核准的 endpoint。OpenShell 的元件包含 gateway、supervisor、sandbox、provider 與 SDK，支援 Linux、Apple Silicon macOS，以及仍標示為 experimental 的 Windows WSL 2。部署到 Kubernetes 時，文件要求使用的 CNI 實際執行 NetworkPolicy。

專案目前仍是 0.1.x 系列，快速入門需要 Docker、Podman 或主機虛擬化環境，預設 sandbox image 不含代理。OpenShell 會收集匿名的操作類遙測資料，文件列出的停用方式是設定 OPENSHELL_TELEMETRY_ENABLED=false 或 server.telemetryEnabled=false；這些政策與遙測設定不構成對所有代理、模型或部署環境的安全保證。

Anthropic 展示 Claude 產生 123 個開源函式庫的形式驗證證明

Anthropic 與 Theorem 表示，他們讓 Claude 對 123 個 OSS-Fuzz 開源函式庫的 239 個 entry points 產生 RISC-V 組合語言層級的形式證明，目標是證明既有 fuzz test 在最多 64 MB 輸入下不會觸發 crash。流程把可編譯的 fuzz test 轉成規格，再由 Claude 產生 Rocq proof，最後由 Rocq kernel 檢查證明是否符合規格。

Anthropic 表示，Claude 在嘗試完成證明的過程中也修補部分錯誤，並找到數百個 bug。文章列出的案例包括需要約 20 MB 特定輸入才出現的 decompressor 越界寫入、需要 64 MB 輸入與超過 2 GB 記憶體的 image decoder 越界讀取，以及重新發現 libexpat 的 CVE-2026-56132。部分證明、RISC-V 與 Linux process semantics 已公開供外部檢查。

研究文章也列出其他實驗：Claude 產生的 Rust Python interpreter 在 170 萬個隨機程式測試中，與 CPython 行為一致率為 99.95%；在一個 PDF reader 的形式驗證工作中，研究團隊表示一週內找到的安全 bug 數量相當於通常一年回報的數量。這些數字來自 Anthropic 與 Theorem 的合作研究，不能推導出所有程式都已被證明安全。

文章列出的信任邊界包括 RISC-V 與 Linux 的形式模型、被證明的 theorem，以及 Rocq proof checker；實際機器若與模型不同，或 theorem 沒有涵蓋使用者關心的性質，證明就不會涵蓋那些情況。部分驗證工作還可能消耗數億 token。Anthropic 公開的是特定規格下可檢查的證明，不是沒有任何 bug 的通用聲明。

瑞典政府辦公室 10 月 26 日起封鎖 ChatGPT 與 Claude，內部平台保留例外

Sveriges Radio 的 Ekot 在 2026 年 10 月 23 日報導，瑞典政府辦公室（Regeringskansliet）將從 10 月 26 日、週一起，封鎖員工透過公務電腦直接存取 ChatGPT 與 Claude，要求改用該機關核准的 AI 服務，其中包括 Microsoft Copilot。報導所述對象是該機關的公務電腦，不是針對全國民眾的服務禁令。

部分員工仍保有另一個使用管道。政府新聞窗口向 Ekot 表示，他們可透過政府辦公室自行開發的 AI 助理平台使用 ChatGPT 與 Claude。報導沒有交代該平台的部署位置、資料保存設定或供應商合約。

數位化主管 Mikael Wettercrantz 婉拒 Ekot 訪問；報導引述他在內部網路的說法，使用未簽訂合約的 AI 服務可能影響資訊安全。政府辦公室也表示，已在檢討後提高 Copilot 的安全性，但以安全考量為由，沒有公開調整細節。這些資訊確認了核准清單與存取方式的改變，並未提供三項服務在相同條件下的安全比較。

其他機關的進度並不相同：瑞典稅務局（Skatteverket）與 Statens institutionsstyrelse（SiS）已實施封鎖；Kronofogden 則仍在準備相關決定。政府辦公室先前也已限制 DeepSeek 的使用。

瑞典交通管理局（Trafikverket）的內部稽核，則曾發現員工使用約十種 AI 服務，問題同時涉及輸入資訊的敏感程度，以及生成回答後續如何被處理。網頁報導沒有附上這些個案的輸入內容、生成回答或後續處理紀錄，也未說明對個人裝置及外部網路的管制方式。