К содержимому
smartreview

В ИИ-шлюзе LiteLLM нашли две уязвимости: возможен захват системы и кража API-ключей

Исследователи Check Point Research обнаружили в популярном ИИ-шлюзе LiteLLM две уязвимости. Они позволяют получить контроль над системой, выполнить вредоносный код и похитить API-ключи ИИ-провайдеров.

2 мин чтения
Взломанный замок на фоне цифрового шлюза и утекающих ключей

LiteLLM — решение с открытым исходным кодом, которое подключает приложения к большим языковым моделям разных провайдеров, включая OpenAI и Anthropic. Через единый интерфейс можно маршрутизировать запросы, управлять API-ключами, контролировать доступ пользователей и следить за использованием и расходами. Сейчас шлюз поддерживает около 140 ИИ-провайдеров, у него более 90 млн загрузок в месяц на GitHub и свыше 61 тысячи звёзд.

Две уязвимости разной степени опасности

Первая — ошибка контроля доступа в том, как LiteLLM проверяет права. Она получила идентификатор CVE-2026-35029 и оценку 8,7 из 10 (высокая степень). По данным Check Point Research (CPR), пользователь с минимальными привилегиями может добраться до административных функций, отвечающих за базовую конфигурацию шлюза. Это даёт возможность читать файлы на сервере, перезаписывать учётные данные администратора, скачивать и запускать вредоносное ПО и многое другое.

Вторая — подделка серверных запросов (SSRF). Она позволяет пользователю шлюза заставить LiteLLM отправлять API-запросы на сторонние серверы. Теоретически злоумышленник может указать собственный сервер, а поскольку такие запросы содержат ключи аутентификации ИИ-провайдера, учётные данные попадут прямо к нему. Затем их можно использовать для доступа к чужим ИИ-аккаунтам и накрутки счетов. Уязвимость значится как CVE-2026-59823 и получила оценку 5,3 из 10 (средняя степень).

«Учётные данные, которые хранит шлюз, дают прямой платный доступ к ИИ-провайдерам без дополнительной аутентификации. С учётом масштабов использования LiteLLM ошибка в этом компоненте может одновременно затронуть очень большое число ИИ-развёртываний», — пояснили в CPR.

Каких версий это касается и что делать

Обе уязвимости затрагивают все версии LiteLLM до 1.83.9. Исправление для обеих ошибок включено в версию 1.83.9, и обновиться рекомендуют как можно скорее. Службам безопасности стоит проверить и косвенные установки: шлюз встроен во многие платформы и внутренние инструменты для создания ИИ-приложений, поэтому он может работать в инфраструктуре, где его не разворачивали отдельно.

Кроме обновления, CPR советует:

  • пересмотреть, кто имеет доступ к шлюзу, так как для эксплуатации уязвимостей подойдёт любая учётная запись;
  • сменить API-ключи ИИ-провайдеров, хранящиеся в LiteLLM, если есть признаки доступа неавторизованных лиц;
  • на практике проверить права: пользователи с ограниченными ролями должны быть действительно ограничены;
  • включать LLM-шлюзы в оценки безопасности, распространяя пентесты и проверки уязвимостей на ИИ-инструменты наравне с веб-приложениями и облачной инфраструктурой.

По словам исследователей, обе ошибки относятся к «хорошо изученному классу», то есть ИИ-инфраструктура подвержена тем же рискам, что и обычное корпоративное ПО. Поэтому к безопасности ИИ-шлюзов нужно подходить с той же строгостью, что и к любой критически важной для бизнеса системе.

Читайте также