بوابات الذكاء الاصطناعي بقت سطح الهجوم — إدراج LiteLLM في KEV والمسار عبر المفاتيح وMCP والسحابة
تجاوز مصادقة MCP في BerriAI LiteLLM (CVE-2026-59822) نزل في فهرس KEV عند CISA، وMicrosoft بتقول إن مهاجمين بيستخدموا بوابات LiteLLM عشان يوصّلوا XMRig. بحث Wiz لقى إن حوالي 1 من كل 10 من أصل ~3,000 نسخة علنية قبلت المفتاح الافتراضي sk-1234 أو اشتغلت من غير مصادقة. بنراجع معنى إن بنية الذكاء الاصطناعي تبقى خزانة لبيانات الاعتماد.
المقالة دي اتترجمت بالآلة.
في سبتمبر 2026، CISA ضافت تجاوز مصادقة MCP في BerriAI LiteLLM، CVE-2026-59822، لفهرس الثغرات المستغَلّة المعروفة (KEV) (2 سبتمبر، حسب الخط الزمني عند Wiz). الثغرة بتخلّي رمز Bearer اعتباطي ينشئ جلسة مصادَقة صالحة على نقطة نهاية MCP Streamable HTTP في LiteLLM، وظهرت جنب ست ثغرات تانية مستغَلّة — منهم SonicWall SMA 1000 وSangoma Switchvox — في تحديث KEV في أوائل سبتمبر (حسب The Hacker News). LiteLLM بوابة ذكاء اصطناعي مفتوحة المصدر بتحتفظ بمفاتيح API لكل مزوّد LLM متهيّأ؛ وبتقدير Wiz هي موجودة في حوالي تلت بيئات السحابة.
الوقائع: (1) بحث Wiz (اتنشر يوم 9 سبتمبر) لقى إنه من حوالي 3,000 نسخة LiteLLM مفتوحة على الإنترنت، حوالي 9.6% قبلت المفتاح الرئيسي الافتراضي sk-1234 أو مكانتش محتاجة أي مصادقة خالص. وفي النسخ اللي المصادقة مش متهيّأة فيها، كل مستخدم اتداله PROXY_ADMIN افتراضيًا، فوصل لوظائف الإدارة من غير بيانات اعتماد (وده اتصلح من ساعتها). (2) بحقوق الإدارة، المهاجم يقدر يستخدم ميزة نقطة نهاية التمرير عشان يوكّل الطلبات لعناوين URL داخلية اعتباطية — ومنها خدمة البيانات الوصفية في AWS — وآلية تمرير الترويسة x-pass- بتهزم متطلب رمز الجلسة في IMDSv2، فتمكّن من سرقة بيانات اعتماد IAM السحابية. (3) في سبتمبر، Microsoft قالت إن مهاجمين بيسلسلوا CVE-2026-42271 وCVE-2026-48710 (تجاوز مصادقة Starlette اسمه «BadHost») عشان يقتحموا بوابات LiteLLM ويوصّلوا مُعدِّن XMRig عن طريق ثنائي ELF (حسب The Hacker News). أما الهجمات على نسخ RAGFlow المكشوفة فطلّعت مفاتيح مزوّدين LLM مسروقة وبيانات وصفية مش برنامج فدية.
تحليل (منفصل عن الوقائع): اللي القصص دي بتبيّنه إن بوابات الذكاء الاصطناعي عدّت مرحلة «LLMjacking» — صرف ميزانية API بتاعة حد تاني — وبقت مسار اقتحام سحابي حقيقي. LiteLLM بتنفّذ Python من ناحية السيرفر في كل طلب استنتاج، وتقدر توكّل الطلبات لعناوين URL داخلية اعتباطية، وبتتصل بأدوات برّانية عن طريق MCP. مش مجرد خزانة مفاتيح؛ دي كوبري للشبكة الداخلية ومعاها قدرة تنفيذ. والأصول اللي المدافعين بيفضّلوا يطووها تحت مبدأ تصميم «ده ذكاء اصطناعي، خلّيه جوّا» بتبقى، للمهاجمين، مسار متعدد المراحل للمفاتيح وIAM وواجهات داخلية ورا تجاوز مصادقة واحد. والفجوة البنيوية بين الافتراضات المتعملة لتجربة المطوّر (sk-1234، وPROXY_ADMIN لما مفيش تهيئة) والنشر الإنتاجي تستاهل تتسمّى زي ما هي.
الدلالات الدفاعية: (1) لو بتشغّل LiteLLM، حدّث الأول لـ v1.84.0 أو أحدث (إصلاح CVE-2026-59822) وv1.83.7 أو أحدث (إصلاح CVE-2026-42271)، وكمان Starlette 1.0.1 أو أحدث؛ واتأكد إن المفتاح الرئيسي الافتراضي اتغيّر وإن النسخة مش مكشوفة للإنترنت. (2) دوّر كل مفاتيح API المخزَّنة للمزوّدين كأنهم اتخرقوا لحظة ما التعرّض يتأكد، وحط حدود صرف عشان توقف الضرر لما مفتاح يخرج. (3) اعتبر الميزات اللي شايلة تنفيذ كود اعتباطي أو توكيل URL اعتباطي — MCP ونقاط نهاية التمرير — أذونات بمستوى الوكيل تتجرد لوحدها وتتقفل افتراضيًا. (4) دقّق بوابات ذكاء اصطناعي ومنسّقات LLM تانية بنفس العدسة: بيانات الاعتماد الافتراضية، ووظائف الإدارة المكشوفة، وتوكيل URL الداخلي. دي تحليلاتنا، ومش إرشاد من البائع.
وقائع المقال ده مأخوذة أساسًا من بحث Wiz (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise)، وإصدار إصلاح BerriAI LiteLLM (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable)، وفهرس KEV عند CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)، مع تغطية The Hacker News كمصدر ثانوي (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html وhttps://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html)؛ وتاريخ KEV يوم 2 سبتمبر ماشي مع الخط الزمني عند Wiz. أقسام التحليل متسيبة منفصلة عن التغطية الوقائعية. ويُلاحظ إن أعداد النسخ وحصة بيئات السحابة تقديرات معتمدة على وقت القياس وطريقته.