بوابات الذكاء الاصطناعي ولات سطح الهجوم — إدراج LiteLLM فـKEV والمسار عبر المفاتيح وMCP والسحابة
تجاوز توثيق MCP ديال BerriAI LiteLLM (CVE-2026-59822) نزل فكتالوج KEV ديال CISA، وMicrosoft كتقول بلي المهاجمين كيستعملو بوابات LiteLLM باش يوصلو XMRig. بحث Wiz لقى تقريبا 1 من 10 من بين ~3,000 نسخة عمومية قبلات المفتاح الافتراضي sk-1234 ولا خدمات بلا توثيق. حنا كنشوفو شنو كيعني كون بنية الذكاء الاصطناعي خزانة ديال الاعتمادات.
هاد المقال ترجمو بالآلة.
فسبتمبر 2026، CISA زادات تجاوز توثيق MCP ديال BerriAI LiteLLM، CVE-2026-59822، لكتالوج Known Exploited Vulnerabilities (KEV) ديالها (2 سبتمبر، حسب الخط الزمني ديال Wiz). الثغرة كتخلي رمز Bearer اعتباطي يقيم جلسة موثقة صالحة على نقطة نهاية MCP Streamable HTTP ديال LiteLLM، وبانات بجانب ستة ثغرات مستغلة خرين — بما فيها SonicWall SMA 1000 وSangoma Switchvox — فتحديث KEV ديال بداية سبتمبر (حسب The Hacker News). LiteLLM بوابة ذكاء اصطناعي مفتوحة المصدر كتمسك مفاتيح API ديال كل مزود LLM مكون؛ حسب تقدير Wiz راه حاضرة تقريبا فثلث بيئات السحابة.
الوقائع: (1) بحث Wiz (تنشر نهار 9 سبتمبر) لقى بلي من بين تقريبا 3,000 نسخة LiteLLM مواجهة للإنترنت، تقريبا 9.6% قبلات مفتاح الماستر الافتراضي sk-1234 ولا ما طلبات حتى توثيق. فالنسخ بلا توثيق مكون، كل مستخدم خدا PROXY_ADMIN افتراضيا، ووصل لوظائف الإدارة بلا اعتمادات (تصلح من بعد). (2) بصلاحيات الإدارة، المهاجم يقدر يستعمل ميزة نقطة النهاية العابرة باش يوكل الطلبات لعناوين داخلية اعتباطية — بما فيها خدمة البيانات الوصفية ديال AWS — وآلية تمرير الترويسة x-pass- كتهزم شرط رمز الجلسة ديال IMDSv2، وكتفتح سرقة اعتمادات IAM ديال السحابة. (3) فسبتمبر، Microsoft بلغات بلي مهاجمين سلسلو CVE-2026-42271 وCVE-2026-48710 (تجاوز توثيق BadHost ديال Starlette) باش يدخلو لبوابات LiteLLM ويوصلو منقب XMRig عبر ثنائي ELF (حسب The Hacker News). الهجمات على نسخ RAGFlow المكشوفة، فمن جهة أخرى، عطات مفاتيح مزود LLM مسروقة وبيانات وصفية ماشي فدية.
التحليل (مفصول على الوقائع): اللي كيبينوه هاد القصص هو بلي بوابات الذكاء الاصطناعي تجاوزات مرحلة LLMjacking — صرف ميزانية API ديال شي واحد آخر — وولات مسار اقتحام سحابي فعلي. LiteLLM كينفذ Python على جهة السيرفر فكل طلب استدلال، ويقدر يوكل الطلبات لعناوين داخلية اعتباطية، وكيتصل بأدوات خارجية عبر MCP. ماشي غير خزانة ديال المفاتيح؛ هو قنطرة للشبكة الداخلية مع قدرة التنفيذ. الأصول اللي المدافعون كيفضلو يخبيوها تحت مبدأ تصميم «هاد شي ذكاء اصطناعي، خليها داخلية» كتوول، عند المهاجمين، مسار متعدد المراحل للمفاتيح وIAM وAPI الداخلية من وراء تجاوز توثيق واحد. الفجوة البنيوية بين الافتراضات المصممة لتجربة المطور (sk-1234، PROXY_ADMIN منين ما مكونش) والنشر فالإنتاج تستاهل تتسمى هكذا.
الآثار الدفاعية: (1) إلا كنتي كتشغل LiteLLM، حدث الأول لـv1.84.0 ولا أحدث (تصحيح CVE-2026-59822) ولـv1.83.7 ولا أحدث (تصحيح CVE-2026-42271)، زائد Starlette 1.0.1 ولا أحدث؛ أكد بلي مفتاح الماستر الافتراضي تبدل وبلي النسخة ماشي مكشوفة للإنترنت. (2) دور كل مفاتيح API ديال المزودين المخزنة كأنهم تخترقو فمن اللحظة اللي الكشف يتأكد، وحط سقوف الصرف باش تحصر الضرر منين مفتاح يخرج. (3) تعامل مع الميزات اللي فيها تنفيذ كود اعتباطي ولا توكيل عناوين اعتباطي — MCP، ونقاط النهاية العابرة — كصلاحيات بمستوى الوكيل خاصها تجرد بوحدها وتتعطل افتراضيا. (4) دقق بوابات ذكاء اصطناعي ومنسقي LLM خرين بنفس العدسة: اعتمادات افتراضية، وظائف إدارة مكشوفة، توكيل عناوين داخلية. هادا تحليلنا، ماشي توجيه البائع.
الوقائع فهاد المقال مستمدة أساسا من بحث Wiz (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise)، وإصدار التصحيح ديال BerriAI LiteLLM (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable)، وكتالوج KEV ديال CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، مع تقرير The Hacker News كثانوي (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html وhttps://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html)؛ تاريخ KEV ديال 2 سبتمبر كيتبع الخط الزمني ديال Wiz. أقسام التحليل مبقاو مفصولين على التبليغ الواقعي. لاحظ بلي أعداد النسخ وحصة بيئات السحابة تقديرات كتعتمد على وقت وطريقة القياس.