एआई गेटवे हमला सतह बनते हैं — LiteLLM की KEV सूची और कुंजियों, MCP, तथा क्लाउड से होकर रास्ता
BerriAI LiteLLM का MCP प्रमाणीकरण बायपास (CVE-2026-59822) CISA के KEV कैटलॉग में आ गया है, और Microsoft रिपोर्ट करता है कि हमलावर XMRig पहुँचाने के लिए LiteLLM गेटवे का उपयोग कर रहे हैं। Wiz शोध में पाया कि लगभग 3,000 सार्वजनिक इंस्टेंस में से लगभग 1 में से 10 ने डिफ़ॉल्ट कुंजी sk-1234 स्वीकार की या बिना प्रमाणीकरण चले। हम जाँचते हैं कि इसका क्या अर्थ है कि एआई अवसंरचना क्रेडेंशियल की तिजोरी है।
यह लेख मशीन से अनुवादित किया गया था।
सितंबर 2026 में CISA ने BerriAI LiteLLM के MCP प्रमाणीकरण बायपास, CVE-2026-59822, को अपने Known Exploited Vulnerabilities (KEV) कैटलॉग में जोड़ा (2 सितंबर, Wiz की समयरेखा के अनुसार)। दोष किसी भी Bearer टोकन को LiteLLM के MCP Streamable HTTP एंडपॉइंट पर वैध प्रमाणित सत्र स्थापित करने देता है, और यह 6 अन्य शोषित दोषों के साथ आया — जिनमें SonicWall SMA 1000 और Sangoma Switchvox शामिल हैं — सितंबर के आरंभ के KEV अपडेट में (The Hacker News के अनुसार)। LiteLLM एक ओपन-सोर्स एआई गेटवे है जो हर कॉन्फ़िगर किए LLM प्रदाता की API कुंजियाँ रखता है; Wiz के अनुमान से यह लगभग 1/3 क्लाउड वातावरणों में मौजूद है।
तथ्य: (1) Wiz का शोध (9 सितंबर को प्रकाशित) पाया कि लगभग 3,000 इंटरनेट-फेसिंग LiteLLM इंस्टेंस में से लगभग 9.6% ने डिफ़ॉल्ट मास्टर कुंजी sk-1234 स्वीकार की या किसी प्रमाणीकरण की आवश्यकता ही नहीं थी। जिन इंस्टेंस में प्रमाणीकरण कॉन्फ़िगर नहीं था, वहाँ हर उपयोगकर्ता को डिफ़ॉल्ट रूप से PROXY_ADMIN दिया गया था, क्रेडेंशियल के बिना व्यवस्थापक कार्यक्षमता तक पहुँच (तब से ठीक)। (2) व्यवस्थापक अधिकारों के साथ, हमलावर पास-थ्रू एंडपॉइंट सुविधा का उपयोग कर अनुरोधों को मनमाने आंतरिक URL पर प्रॉक्सी कर सकता है — AWS मेटाडेटा सेवा सहित — और x-pass- हेडर-अग्रेषण तंत्र IMDSv2 की सत्र-टोकन आवश्यकता को विफल करता है, जिससे क्लाउड IAM क्रेडेंशियल चोरी संभव होती है। (3) सितंबर में Microsoft ने रिपोर्ट किया कि हमलावर CVE-2026-42271 और CVE-2026-48710 (Starlette 'BadHost' प्रमाणीकरण बायपास) को शृंखलाबद्ध कर LiteLLM गेटवे में घुसे और एक ELF बाइनरी के माध्यम से XMRig माइनर पहुँचाया (The Hacker News के अनुसार)। उजागर RAGFlow इंस्टेंस पर हमलों से, इस बीच, रैनसमवेयर के बजाय चुराई गई LLM प्रदाता कुंजियाँ और मेटाडेटा मिले।
विश्लेषण (तथ्यों से पृथक): ये कहानियाँ दिखाती हैं कि एआई गेटवे 'LLMjacking' चरण — किसी और के API बजट को खर्च करना — से आगे बढ़कर एक वैध क्लाउड घुसपैठ पथ बन गए हैं। LiteLLM हर अनुमान अनुरोध पर सर्वर-साइड Python चलाता है, अनुरोधों को मनमाने आंतरिक URL पर प्रॉक्सी कर सकता है, और MCP के माध्यम से बाहरी उपकरणों से जुड़ता है। यह केवल कुंजियों की तिजोरी नहीं है; यह निष्पादन क्षमता के साथ आंतरिक नेटवर्क में एक पुल है। जिन परिसंपत्तियों को रक्षक 'यह एआई है, इसे आंतरिक रखें' डिज़ाइन सिद्धांत के नीचे छिपाना पसंद करते हैं, वे हमलावरों के लिए एक ही प्रमाणीकरण बायपास के पीछे कुंजियों, IAM, और आंतरिक API तक बहु-चरण पथ बन जाती हैं। डेवलपर अनुभव के लिए डिज़ाइन किए डिफ़ॉल्ट (sk-1234, असंरूपित होने पर PROXY_ADMIN) और प्रोडक्शन परिनियोजन के बीच संरचनात्मक अंतर को उसी रूप में नाम देना उचित है।
रक्षात्मक निहितार्थ: (1) यदि आप LiteLLM चलाते हैं, तो पहले v1.84.0 या बाद के संस्करण पर अपडेट करें (CVE-2026-59822 सुधार) और v1.83.7 या बाद के पर (CVE-2026-42271 सुधार), साथ ही Starlette 1.0.1 या बाद का; पुष्टि करें कि डिफ़ॉल्ट मास्टर कुंजी बदल दी गई है और इंस्टेंस इंटरनेट पर उजागर नहीं है। (2) एक्सपोज़र की पुष्टि होते ही सभी संग्रहीत प्रदाता API कुंजियों को इस तरह घुमाएँ मानो वे समझौता हो चुकी हों, और खर्च सीमाएँ लगाएँ ताकि जब कोई कुंजी निकल जाए तो क्षति सीमित रहे। (3) जो सुविधाएँ मनमाना कोड निष्पादन या मनमाना URL प्रॉक्सी रखती हैं — MCP, पास-थ्रू एंडपॉइंट — उन्हें एजेंट-स्तर की अनुमतियों के रूप में अलग इन्वेंटरी करें और डिफ़ॉल्ट रूप से अक्षम करें। (4) अन्य एआई गेटवे और LLM ऑर्केस्ट्रेटर का उसी दृष्टि से ऑडिट करें: डिफ़ॉल्ट क्रेडेंशियल, उजागर व्यवस्थापक कार्यक्षमता, आंतरिक URL प्रॉक्सी। यह हमारा विश्लेषण है, विक्रेता मार्गदर्शन नहीं।
इस लेख के तथ्य मुख्य रूप से Wiz के शोध (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), BerriAI LiteLLM की सुधार रिलीज़ (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable), और CISA KEV कैटलॉग (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) से लिए गए हैं, द्वितीयक रूप से The Hacker News की रिपोर्ट के साथ (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html और https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html); 2 सितंबर की KEV तिथि Wiz की समयरेखा का अनुसरण करती है। विश्लेषण खंडों को तथ्यात्मक रिपोर्टिंग से अलग रखा गया है। ध्यान दें कि इंस्टेंस गणना और क्लाउड-वातावरण हिस्सा ऐसे अनुमान हैं जो मापन के समय और विधि पर निर्भर करते हैं।