بوابات الذكاء الاصطناعي تصبح سطح الهجوم — إدراج LiteLLM في KEV والمسار عبر المفاتيح وMCP والسحابة
تجاوز مصادقة MCP في BerriAI LiteLLM (CVE-2026-59822) حلّ في فهرس KEV لدى CISA، وتفيد Microsoft بأن مهاجمين يستخدمون بوابات LiteLLM لتوصيل XMRig. وجد بحث Wiz أن نحو 1 من كل 10 من أصل ~3,000 نسخة علنية قبلت المفتاح الافتراضي sk-1234 أو عملت بلا مصادقة. ندرس ما يعنيه أن تكون بنية الذكاء الاصطناعي خزانة لبيانات الاعتماد.
تُرجمت هذه المقالة آليًا.
في سبتمبر 2026، أضافت CISA تجاوز مصادقة MCP في BerriAI LiteLLM، CVE-2026-59822، إلى فهرس الثغرات المستغَلّة المعروفة (KEV) (2 سبتمبر، حسب الخط الزمني لدى Wiz). تتيح الثغرة لرمز Bearer اعتباطي أن ينشئ جلسة مصادَقة صالحة على نقطة نهاية MCP Streamable HTTP في LiteLLM، وظهرت إلى جانب ست ثغرات أخرى مستغَلّة — منها SonicWall SMA 1000 وSangoma Switchvox — في تحديث KEV في أوائل سبتمبر (حسب The Hacker News). LiteLLM بوابة ذكاء اصطناعي مفتوحة المصدر تحتفظ بمفاتيح API لكل مزوّد LLM مُهيأ؛ وبتقدير Wiz فهي حاضرة في نحو ثلث بيئات السحابة.
الوقائع: (1) وجد بحث Wiz (نُشر في 9 سبتمبر) أنه من بين نحو 3,000 نسخة LiteLLM مواجهة للإنترنت، قبل نحو 9.6% المفتاح الرئيسي الافتراضي sk-1234 أو لم يتطلب أي مصادقة على الإطلاق. وفي النسخ التي لم تُهيأ فيها مصادقة، مُنح كل مستخدم PROXY_ADMIN افتراضيًا، فبلغ وظائف الإدارة من دون بيانات اعتماد (وقد أُصلح ذلك منذئذ). (2) بحقوق الإدارة، يستطيع المهاجم استخدام ميزة نقطة نهاية التمرير لتوكيل الطلبات إلى عناوين URL داخلية اعتباطية — بما فيها خدمة البيانات الوصفية في AWS — وآلية تمرير الترويسة x-pass- تهزم متطلب رمز الجلسة في IMDSv2، فتمكّن من سرقة بيانات اعتماد IAM السحابية. (3) في سبتمبر، أفادت Microsoft بأن مهاجمين يسلسلون CVE-2026-42271 وCVE-2026-48710 (تجاوز مصادقة Starlette المسمى «BadHost») لاقتحام بوابات LiteLLM وتوصيل مُعدِّن XMRig عبر ثنائي ELF (حسب The Hacker News). أما الهجمات على نسخ RAGFlow المكشوفة فأفضت إلى مفاتيح مزوّدي LLM مسروقة وبيانات وصفية لا إلى برنامج فدية.
تحليل (منفصل عن الوقائع): ما تبيّنه هذه القصص هو أن بوابات الذكاء الاصطناعي تجاوزت مرحلة «LLMjacking» — إنفاق ميزانية API لشخص آخر — لتصير مسار اقتحام سحابيًا حقيقيًا. تنفّذ LiteLLM لغة Python من جانب الخادم في كل طلب استنتاج، وتستطيع توكيل الطلبات إلى عناوين URL داخلية اعتباطية، وتتصل بأدوات خارجية عبر MCP. ليست مجرد خزانة مفاتيح؛ إنها جسر إلى الشبكة الداخلية مع قدرة تنفيذ. والأصول التي يفضّل المدافعون طيّها تحت مبدأ تصميم «إنه ذكاء اصطناعي، أبقِه داخليًا» تصبح، للمهاجمين، مسارًا متعدد المراحل إلى المفاتيح وIAM وواجهات داخلية خلف تجاوز مصادقة واحد. والفجوة البنيوية بين الافتراضات المصمَّمة لتجربة المطوّر (sk-1234، وPROXY_ADMIN عند عدم التهيئة) والنشر الإنتاجي تستحق أن تُسمّى بما هي.
الدلالات الدفاعية: (1) إذا كنت تشغّل LiteLLM، فحدّث أولًا إلى v1.84.0 أو أحدث (إصلاح CVE-2026-59822) وv1.83.7 أو أحدث (إصلاح CVE-2026-42271)، بالإضافة إلى Starlette 1.0.1 أو أحدث؛ وتأكد من أن المفتاح الرئيسي الافتراضي قد غُيّر وأن النسخة ليست مكشوفة للإنترنت. (2) أدر جميع مفاتيح API المخزَّنة للمزوّدين كأنما قد اختُرقت لحظة تأكيد التعرّض، وضع حدود إنفاق لكبح الضرر حين يخرج مفتاح. (3) عامل الميزات التي تحمل تنفيذ رمز اعتباطي أو توكيل URL اعتباطي — MCP ونقاط نهاية التمرير — بوصفها أذونات بمستوى الوكيل تُجرَد على حدة وتُعطَّل افتراضيًا. (4) دقّق بوابات ذكاء اصطناعي ومنسّقات LLM أخرى بالعدسة نفسها: بيانات الاعتماد الافتراضية، ووظائف الإدارة المكشوفة، وتوكيل URL الداخلي. هذه تحليلاتنا، وليست إرشادًا من البائع.
تُستمد الوقائع في هذا المقال أساسًا من بحث Wiz (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise)، وإصدار إصلاح BerriAI LiteLLM (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable)، وفهرس KEV لدى CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، مع تغطية The Hacker News بوصفها ثانوية (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html وhttps://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html)؛ وتاريخ KEV في 2 سبتمبر يتبع الخط الزمني لدى Wiz. تُبقى أقسام التحليل منفصلة عن التغطية الوقائعية. ويُلاحظ أن أعداد النسخ وحصة بيئات السحابة تقديرات تعتمد على وقت القياس وطريقته.