在 AI 應用開發的浪潮中，LiteLLM 憑藉其簡便的 API 轉換功能，成為許多開發者串接多家大型語言模型（LLM）的首選閘道工具。然而，這家備受矚目的新創公司近期卻捲入了一場資安風暴。由於其合作的資安合規平台 Delve 遭受嚴重的惡意軟體攻擊，導致 LiteLLM 儲存於該平台的敏感憑證外洩。面對此危機，LiteLLM 果斷選擇「斷捨離」，正式宣佈撤離 Delve 平台，此舉在技術社群引發了對 AI 供應鏈安全性的熱烈討論。

回顧事件背景，LiteLLM 原本是透過 Delve 獲得 SOC2 與 HIPAA 等關鍵的安全性合規認證，這些認證對於需要處理企業級敏感資料的新創公司來說，是建立客戶信任的重要門票。諷刺的是，專門協助企業達成資安合規的 Delve，竟然成為了惡意軟體竊取憑證的目標。根據報導，這類惡意軟體具備高度的針對性，專門鎖定開發環境與雲端憑證，使得原本應是保護傘的合規工具，反倒成了駭客進入企業核心的破口。

這起事件對產業的影響層面相當深遠。首先，它打破了「合規等同於安全」的迷思。在現行的開發體系中，許多新創為了快速切入市場，往往過度依賴自動化的合規平台來獲取安全標章，卻忽略了對這些「安全工具」本身的資安審核。當這些第三方平台安全性存疑時，整個 AI 生態系的防禦力就會隨之瓦解。對於 LiteLLM 的使用者來說，這次憑證外洩事件提醒了大家，在部署 AI 基礎建設時，即便只是中繼的閘道層，其底層所依賴的每一個服務節點都必須納入零信任架構的考量。

這起事件之所以值得關注，是因為它標誌著 AI 安全領域中「供應鏈攻擊」的演進。過去我們擔心的可能是模型權重被竊取或訓練資料遭污染，但 LiteLLM 的案例顯示，開發工具鏈與合規系統的安全性同樣脆弱。對於台灣正蓬勃發展的 AI 新創團隊而言，這是一記及時的警鐘：在追求開發效率與市場擴張的同時，如何重新評估外部服務的信任鏈，並建立更具彈性的資安應變機制，將是未來在國際市場競爭時不可或缺的核心能力。