LiteLLMのnightlyリリースって、正直追いかけてる人どれくらいいるんだろう。自分はGitHubのリリースページをRSSで拾ってるんだけど、v1.83.0-nightlyが出たのを見てちょっと気になる変更があったので整理しておく。
今回のリリースで個人的に目が止まったのは、プロキシのSSO処理の修正。`control_plane_url`が設定されていない状態のとき、`return_to`パラメータを無視するように直されている。これ、LiteLLMをセルフホストしてSSOを組み合わせてる構成だと地味に踏んでた可能性がある。自分の環境でLiteLLMのプロキシを立ててる人は、ログイン周りの挙動を一度確認しておいて損はないと思う。
UIまわりだとroute_previewのコンポーネントがTremorからAnt Designに移行されてる。LiteLLMの管理画面をカスタマイズしてる人は注意が必要で、Tremorに依存したスタイルの上書きをしてた場合は見た目が崩れるかもしれない。
リリースノートにcosignでのイメージ検証コマンドが載ってる。本番でLiteLLMのDockerイメージを使ってるなら、一応確認しておきたい手順。
これで署名の検証ができる。チームで使ってる場合は、CI/CDのパイプラインに組み込んでおくとサプライチェーン攻撃への備えになる。スタートアップだと後回しになりがちなところだけど、LLMのプロキシ経由でAPIキーが全部流れてるわけだから、ここはちゃんとやっておきたい。
あとドキュメントの修正として`completion_model`の説明が直されてる。ドキュメントを読んで実装してたなら、理解が微妙にズレてた可能性もある。一度公式ドキュメントを見直しておくといいかも。
今回の変更点をまとめると、機能的な大きな追加よりも細かい修正が中心のリリースだった。nightlyを本番に使うのは怖いけど、何が直されてるかを追うことで「あ、これ自分の環境でも踏んでたやつだ」って気づくことがある。nightlyのリリースノートを流し読みする習慣、意外とコスパいいと思ってる。
cosignの検証をまだCIに組み込んでないなら、まずそこから試してみてほしい。LiteLLMのプロキシはAPIキーの集約点になるだけに、イメージの信頼性を担保するのは後回しにしたくない部分だと思う。
SSOまわりのバグ修正、自分のプロジェクトに関係ある？
今回のリリースで個人的に目が止まったのは、プロキシのSSO処理の修正。`control_plane_url`が設定されていない状態のとき、`return_to`パラメータを無視するように直されている。これ、LiteLLMをセルフホストしてSSOを組み合わせてる構成だと地味に踏んでた可能性がある。自分の環境でLiteLLMのプロキシを立ててる人は、ログイン周りの挙動を一度確認しておいて損はないと思う。
UIまわりだとroute_previewのコンポーネントがTremorからAnt Designに移行されてる。LiteLLMの管理画面をカスタマイズしてる人は注意が必要で、Tremorに依存したスタイルの上書きをしてた場合は見た目が崩れるかもしれない。
Dockerイメージの検証、やってるか確認しておきたい
リリースノートにcosignでのイメージ検証コマンドが載ってる。本番でLiteLLMのDockerイメージを使ってるなら、一応確認しておきたい手順。
cosign verify --insecure-ignore-tlog=true \
--key https://raw.githubusercontent.com/BerriAI/litellm/main/cosign.pub \
ghcr.io/berriai/litellm:v1.83.0-nightlyこれで署名の検証ができる。チームで使ってる場合は、CI/CDのパイプラインに組み込んでおくとサプライチェーン攻撃への備えになる。スタートアップだと後回しになりがちなところだけど、LLMのプロキシ経由でAPIキーが全部流れてるわけだから、ここはちゃんとやっておきたい。
あとドキュメントの修正として`completion_model`の説明が直されてる。ドキュメントを読んで実装してたなら、理解が微妙にズレてた可能性もある。一度公式ドキュメントを見直しておくといいかも。
今回の変更点をまとめると、機能的な大きな追加よりも細かい修正が中心のリリースだった。nightlyを本番に使うのは怖いけど、何が直されてるかを追うことで「あ、これ自分の環境でも踏んでたやつだ」って気づくことがある。nightlyのリリースノートを流し読みする習慣、意外とコスパいいと思ってる。
cosignの検証をまだCIに組み込んでないなら、まずそこから試してみてほしい。LiteLLMのプロキシはAPIキーの集約点になるだけに、イメージの信頼性を担保するのは後回しにしたくない部分だと思う。