З критичними несправностями LiteLLM зловмисники захоплюють AI-шлюзи і крадуть API-ключі

У LiteLLM виявили дві критичні вразливості

Check Point Research виявила дві критичні вразливості в LiteLLM — шлюзі з відкритим кодом, який багато організацій використовує для підключення застосунків до AI-провайдерів, таких як OpenAI, Anthropic та Google. Вразливості позначені кодами CVE-2026-35029 і CVE-2026-59823 і вважаються високоризикованими для будь-якого стартапу та платформи, що використовує LiteLLM. LiteLLM має 97 мільйонів завантажень на місяць і 59 000 зірок на GitHub.

Користувачі з низькими правами доступу отримують доступ до функцій адміністратора

За словами дослідників, перша вразливість дозволяє особі з найнижчим рівнем доступу, наприклад користувачу лише з правами на читання, досягти адміністративних функцій. Звідти зловмисник може читати файли сервера, переписувати адміністративні дані та запускати власний код, що фактично передає шлюз у його руки. Друга вразливість дає зловмисникам змогу перенаправляти запити до шлюзу на власний сервер і отримувати API-ключі AI-провайдерів.

Багато організацій можуть навіть не знати, що вони вразливі

Check Point відзначає, що багато організацій можуть навіть не знати про вразливість, оскільки LiteLLM вбудований у багато інших AI-платформ і може працювати в середовищах, де його ніколи не встановлювали як окремий продукт. Практично будь-хто, хто має доступ до вразливого розгортання LiteLLM, може захопити шлюз і використати його для зловмисних цілей. Проблеми виявили в LiteLLM і виправили у версіях 1.83.9 та новіших, однак команди безпеки рекомендують перевіряти, чи не працює LiteLLM у їхньому середовищі побічно.

Експерти з безпеки закликають зосереджуватися на AI-інфраструктурі

Матео Рохас-Карулья, керівник досліджень безпеки AI-агентів у Check Point, каже, що увага індустрії була зосереджена переважно на захисті AI-моделей, але це дослідження показує, що захист AI-інфраструктури однаково важливий. Він додав, що шлюзи типу LiteLLM перебувають в центрі довіри, тому є привабливими цілями, а майбутнє AI-безпеки залежатиме від захисту всіх рівнів AI-стеку. Головний інженер з безпеки Black Duck Борис Ципот відзначає, що зловмисникам більше не потрібно безпосередньо вриватися в OpenAI, Anthropic або Google, оскільки може бути простіше атакувати програмне забезпечення, якому довіряють і яке знаходиться між провайдерами та їхніми користувачами.

Джерела: Cybernews