llm 0.37.2 修复 API 密钥泄露的安全漏洞

Simon Willison 的开源命令行工具 llm 发布 0.37.2 版本，修复由 Daniel de Araujo 报告的两个安全问题（GHSA-v9h7-jj4g-f862 和 GHSA-r639-rr7r-x72w）。漏洞核心在于 extra-openai-models.yaml 机制，该机制用于让 llm 连接其他厂商的 OpenAI 兼容 API 端点，0.37 版本新增的 llm openai endpoint add 命令负责管理这项配置。 Daniel 报告了两种可能把用户配置的 OpenAI API 密钥误发给第三方提供商的场景：一是 api_key_name 指定的密钥从未被存储过，二是 responses: true 的模型在运行时带上 -o chat_completions 1 参数。两种情况下密钥都可能被意外发送到错误端点。 llm 是开发者常用的小型工具，可在终端直接调用各家模型 API，这类第三方端点配置在本地工具中并不少见，密钥发送目标错误属于典型的高风险配置问题。正在用 llm 连接 OpenAI 兼容端点的用户应尽快升级到 0.37.2。