এআই গেটওয়ে হামলার পৃষ্ঠ হয়ে ওঠে — LiteLLM-এর KEV তালিকা এবং চাবি, MCP, ও ক্লাউডের মধ্য দিয়ে পথ
BerriAI LiteLLM-এর MCP প্রমাণীকরণ বাইপাস (CVE-2026-59822) CISA-এর KEV ক্যাটালগে এসেছে, এবং Microsoft জানায় আক্রমণকারীরা XMRig পৌঁছাতে LiteLLM গেটওয়ে ব্যবহার করছে। Wiz গবেষণায় দেখা গেছে প্রায় 3,000 প্রকাশ্য ইনস্ট্যান্সের মধ্যে প্রায় 1-এর মধ্যে 10টি ডিফল্ট চাবি sk-1234 গ্রহণ করেছে বা প্রমাণীকরণ ছাড়া চলেছে। আমরা পরীক্ষা করি এআই অবকাঠামো যে ক্রেডেনশিয়ালের ভাণ্ডার, তার অর্থ কী।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
সেপ্টেম্বর 2026-এ CISA BerriAI LiteLLM-এর MCP প্রমাণীকরণ বাইপাস, CVE-2026-59822, তার Known Exploited Vulnerabilities (KEV) ক্যাটালগে যোগ করেছে (2 সেপ্টেম্বর, Wiz-এর সময়রেখা অনুসারে)। ত্রুটিটি যেকোনো Bearer টোকেনকে LiteLLM-এর MCP Streamable HTTP এন্ডপয়েন্টে একটি বৈধ প্রমাণিত সেশন স্থাপন করতে দেয়, এবং এটি আরও 6টি শোষিত ত্রুটির সঙ্গে এসেছে — যার মধ্যে SonicWall SMA 1000 ও Sangoma Switchvox আছে — সেপ্টেম্বরের শুরুর KEV হালনাগাদে (The Hacker News অনুসারে)। LiteLLM একটি ওপেন-সোর্স এআই গেটওয়ে যা প্রতিটি কনফিগার করা LLM প্রদানকারীর API চাবি রাখে; Wiz-এর অনুমানে এটি প্রায় 1/3 ক্লাউড পরিবেশে উপস্থিত।
তথ্য: (1) Wiz-এর গবেষণা (9 সেপ্টেম্বর প্রকাশিত) পেয়েছে যে প্রায় 3,000 ইন্টারনেট-মুখী LiteLLM ইনস্ট্যান্সের মধ্যে প্রায় 9.6% ডিফল্ট মাস্টার চাবি sk-1234 গ্রহণ করেছে বা কোনো প্রমাণীকরণ চায়নি। যে ইনস্ট্যান্সে প্রমাণীকরণ কনফিগার ছিল না, সেখানে প্রতিটি ব্যবহারকারীকে ডিফল্টে PROXY_ADMIN দেওয়া হয়েছিল, ক্রেডেনশিয়াল ছাড়াই অ্যাডমিন কার্যক্ষমতায় পৌঁছানো (তারপর থেকে ঠিক করা)। (2) অ্যাডমিন অধিকারে, একজন আক্রমণকারী পাস-থ্রু এন্ডপয়েন্ট সুবিধা দিয়ে অনুরোধ যেকোনো অভ্যন্তরীণ URL-এ প্রক্সি করতে পারে — AWS মেটাডেটা সেবাসহ — এবং x-pass- হেডার-ফরওয়ার্ডিং প্রক্রিয়া IMDSv2-এর সেশন-টোকেন শর্ত ভেঙে দেয়, যা ক্লাউড IAM ক্রেডেনশিয়াল চুরি সম্ভব করে। (3) সেপ্টেম্বরে Microsoft জানিয়েছে আক্রমণকারীরা CVE-2026-42271 ও CVE-2026-48710 (Starlette 'BadHost' প্রমাণীকরণ বাইপাস) শৃঙ্খলিত করে LiteLLM গেটওয়েতে ঢুকে একটি ELF বাইনারির মাধ্যমে XMRig মাইনার পৌঁছে দিয়েছে (The Hacker News অনুসারে)। উন্মুক্ত RAGFlow ইনস্ট্যান্সে হামলা, ইতোমধ্যে, র্যানসমওয়্যারের বদলে চুরি হওয়া LLM প্রদানকারী চাবি ও মেটাডেটা দিয়েছে।
বিশ্লেষণ (তথ্য থেকে পৃথক): এই গল্পগুলো দেখায় যে এআই গেটওয়ে 'LLMjacking' পর্যায় — অন্য কারো API বাজেট খরচ — পেরিয়ে একটি বৈধ ক্লাউড অনুপ্রবেশ পথ হয়েছে। LiteLLM প্রতিটি ইনফারেন্স অনুরোধে সার্ভার-সাইড Python চালায়, অনুরোধ যেকোনো অভ্যন্তরীণ URL-এ প্রক্সি করতে পারে, এবং MCP-এর মাধ্যমে বাইরের টুলের সঙ্গে যুক্ত হয়। এটি কেবল চাবির ভাণ্ডার নয়; এটি কার্যকর ক্ষমতাসহ অভ্যন্তরীণ নেটওয়ার্কে একটি সেতু। যে সম্পদ রক্ষকরা 'এটি এআই, একে অভ্যন্তরীণ রাখুন' নকশা নীতির নিচে রাখতে চান, সেগুলো আক্রমণকারীদের জন্য একটি প্রমাণীকরণ বাইপাসের পেছনে চাবি, IAM, ও অভ্যন্তরীণ API পর্যন্ত বহু-ধাপ পথ হয়ে যায়। ডেভেলপার অভিজ্ঞতার জন্য তৈরি ডিফল্ট (sk-1234, কনফিগার না থাকলে PROXY_ADMIN) ও প্রোডাকশন স্থাপনার মধ্যে কাঠামোগত ফাঁককে সেভাবেই নাম দেওয়া উচিত।
প্রতিরক্ষামূলক তাৎপর্য: (1) আপনি যদি LiteLLM চালান, আগে v1.84.0 বা পরের সংস্করণে হালনাগাদ করুন (CVE-2026-59822 সংশোধন) এবং v1.83.7 বা পরেরটিতে (CVE-2026-42271 সংশোধন), সাথে Starlette 1.0.1 বা পরেরটি; নিশ্চিত করুন ডিফল্ট মাস্টার চাবি বদলানো হয়েছে এবং ইনস্ট্যান্স ইন্টারনেটে উন্মুক্ত নয়। (2) এক্সপোজার নিশ্চিত হওয়ার মুহূর্তে সব সংরক্ষিত প্রদানকারী API চাবি এমনভাবে ঘোরান যেন সেগুলো আপস হয়েছে, এবং খরচ সীমা বসান যাতে একটি চাবি বেরিয়ে গেলে ক্ষতি আটকে থাকে। (3) যে বৈশিষ্ট্য নির্বিচার কোড কার্যকর বা নির্বিচার URL প্রক্সি বহন করে — MCP, পাস-থ্রু এন্ডপয়েন্ট — সেগুলোকে এজেন্ট-স্তরের অনুমতি হিসেবে আলাদা তালিকা করুন এবং ডিফল্টে বন্ধ রাখুন। (4) অন্য এআই গেটওয়ে ও LLM অর্কেস্ট্রেটর একই দৃষ্টিতে অডিট করুন: ডিফল্ট ক্রেডেনশিয়াল, উন্মুক্ত অ্যাডমিন কার্যক্ষমতা, অভ্যন্তরীণ URL প্রক্সি। এগুলো আমাদের বিশ্লেষণ, বিক্রেতার নির্দেশনা নয়।
এই নিবন্ধের তথ্য মূলত Wiz-এর গবেষণা (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), BerriAI LiteLLM-এর সংশোধন রিলিজ (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable), এবং CISA KEV ক্যাটালগ (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) থেকে নেওয়া, গৌণ হিসেবে The Hacker News-এর প্রতিবেদনসহ (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html এবং https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html); 2 সেপ্টেম্বরের KEV তারিখ Wiz-এর সময়রেখা অনুসরণ করে। বিশ্লেষণ অংশগুলো তথ্যগত প্রতিবেদন থেকে পৃথক রাখা হয়েছে। লক্ষ করুন যে ইনস্ট্যান্স গণনা ও ক্লাউড-পরিবেশের অংশ এমন অনুমান যা পরিমাপের সময় ও পদ্ধতির ওপর নির্ভর করে।