LiteLLM发布v1.106.0-dev.3：Docker镜像签名改用固定commit哈希验证
该预发布版由机器人litellm-dispatcher发布，包含约 90 项改动；官方推荐用commit 0112e53中的cosign公钥而非release tag校验镜像签名。
AI解读：LiteLLM发布v1.106.0-dev.3预发布版本，发布记录同时列出该版本约 90 项合并改动与两位首次贡献者。
官方在发布说明中表示，所有LiteLLM Docker镜像均用cosign签名，且每个release使用commit 0112e53046018d726492c814b3644b7d376029d0引入的同一把密钥；推荐用该commit哈希引用的公钥做验证，理由是commit哈希在密码学上不可篡改，tag方式更易读但依赖仓库的tag保护规则。
改动覆盖测试离线化、Bedrock与Gemini的模型与价格元数据同步、MCP OAuth身份支持、Rust侧类型化LLM契约与Anthropic beta头策略、UI的Cmd+K命令面板，以及依赖版本从litellm-enterprise 0.1.75到 0.1.76、litellm-proxy-extras 0.4.107到 0.4.108 的升级。
LiteLLM发布v1.106.0-dev.3。发布说明由机器人litellm-dispatcher署名，除签名验证指引外，还列出本版本约 90 项改动、两位首次贡献者和完整变更对比链接。
镜像签名验证方式
发布说明称，所有LiteLLM Docker镜像都用cosign签名，每个release使用同一把密钥，该密钥在commit 0112e53046018d726492c814b3644b7d376029d0中引入。
官方推荐用固定commit哈希获取公钥来验证，理由是commit哈希在密码学上不可篡改；用release tag获取公钥更方便，但依赖仓库的tag保护规则。两种方式对应同一把密钥，预期输出会显示cosign claims已通过验证、签名与指定公钥匹配。
- 推荐命令：cosign verify --key https://raw.githubusercontent.com/BerriAI/litellm/0112e53046018d726492c814b3644b7d376029d0/cosign.pub ghcr.io/berriai/litellm:v1.106.0-dev.3
- 便捷命令：cosign verify --key https://raw.githubusercontent.com/BerriAI/litellm/v1.106.0-dev.3/cosign.pub ghcr.io/berriai/litellm:v1.106.0-dev.3
本次版本包含的主要改动
改动清单以PR链接逐条列出，涵盖测试、Provider适配、路由、UI和依赖版本。其中多项涉及Bedrock与模型价格元数据的同步，包括从Bedrock模型卡获取上下文窗口、输出上限和EOL日期，以及移除AWS无法调用的cost-map行。
功能层面，发布说明列出新增MCP上游OAuth客户端元数据身份支持、Rust侧独立类型化LLM线协议契约、Anthropic beta头策略、Prometheus按项目和模型暴露速率限制允许量与已用量、UI的Cmd+K命令面板，以及从LLM Credentials和Add Model表单配置OpenAI workload identity federation。
- 测试大规模转为离线：多项PR将legacy live测试改为离线单元或集成覆盖，数量包括 77、81、76、61、38 项等
- Gemini多模态嵌入可接受带video_metadata的文件内容块
- Voyage品牌更名为VoyageAI by MongoDB，MongoDB key路由到ai.mongodb.com
- 依赖升级：litellm-enterprise 0.1.75 → 0.1.76，litellm-proxy-extras 0.4.107 → 0.4.108
- 新增首次贡献者 @msdianprince-7与 @Solomon-mithra