同一条供应链一年两爆：你还敢装最新版依赖吗

LiteLLM一年内两次PyPI出事，开发群的反应很分裂：有人主张「开源中间件别碰最新版」；有人觉得该上私有源和签名校验，而不是吓得不敢用工具。事件本身有公开时间线和影响面描述，细节以安全机构通报为准。

真正的分歧是工程文化：追新换便利，还是把供应链当一等公民。和语言无关，Java/Go/Rust生态一样会中招。

你们仓库的依赖更新策略，现在更偏自动还是更偏人工审批？

[1] DeAI周报相关段落，2026年10月23日。

#供应链 #LiteLLM #讨论 #依赖管理 #安全