LiteLLM: шлюз с открытой дверью
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи Check Point Research обнаружили две уязвимости в LiteLLM — популярном шлюзе для работы с искусственным интеллектом. Такие шлюзы соединяют приложения с большими языковыми моделями разных поставщиков, например OpenAI и Anthropic, через единый интерфейс. В нём можно направлять запросы, управлять API-ключами и доступом пользователей, а также отслеживать использование моделей и расходы.
LiteLLM поддерживает около 140 поставщиков ИИ. По данным статьи, проект набирает более 90 миллионов загрузок в месяц и имеет свыше 61 тысячи отметок «звезда» на GitHub. Поэтому найденные ошибки способны затронуть большое число внедрений.
Первая уязвимость, CVE-2026-35029, связана с контролем доступа. Её оценили в 8,7 балла из 10 — это высокий уровень опасности. Пользователь с минимальными правами мог добраться до административных функций, управляющих основными настройками шлюза. Это, в частности, позволяло читать файлы на сервере, заменять учётные данные администратора, загружать и запускать вредоносные программы.
Вторая ошибка, CVE-2026-59823, получила оценку 5,3 из 10 — средний уровень опасности. Это уязвимость типа SSRF (подделка серверного запроса): пользователь мог заставить LiteLLM отправить запрос на сторонний сервер. Если направить его на сервер злоумышленника, туда могли попасть ключи доступа к поставщикам ИИ, которые шлюз добавляет к запросу. Получив ключи, атакующие могли пользоваться чужими аккаунтами и увеличивать счета организаций.
В Check Point Research пояснили, что хранящиеся в шлюзе учётные данные дают прямой доступ к платным сервисам ИИ без дополнительной проверки. С учётом распространённости LiteLLM, ошибка могла одновременно затронуть множество ИИ-систем.
Обе уязвимости затрагивают версии LiteLLM до 1.83.9. Разработчики выпустили исправление в версии 1.83.9, и пользователям рекомендуют установить обновление как можно скорее. Проверять нужно не только отдельно установленный LiteLLM: шлюз может быть встроен в платформы и внутренние инструменты для создания ИИ-приложений, даже если организация не разворачивала его самостоятельно.
Специалисты также советуют проверить, кому открыт доступ к шлюзу: для эксплуатации ошибок могла подойти любая учётная запись. Если есть признаки несанкционированного доступа, следует заменить API-ключи поставщиков ИИ, сохранённые в LiteLLM. Кроме того, необходимо на практике убедиться, что пользователи с ограниченными ролями действительно не могут выполнять административные действия: расхождение между заданными и фактически применяемыми правами и стало источником одной из проблем.
Check Point Research рекомендует включать шлюзы больших языковых моделей в проверки безопасности, тесты на проникновение и оценку уязвимостей наряду с веб-приложениями и облачной инфраструктурой. Исследователи подчёркивают: ошибки такого типа давно известны и встречаются в обычном корпоративном ПО. Поэтому ИИ-инфраструктуру следует защищать с той же строгостью, что и любую другую критически важную систему бизнеса.
PEREC.RU
LiteLLM — популярный шлюз с открытым исходным кодом, который позволяет приложениям обращаться к большим языковым моделям разных поставщиков через единый интерфейс. Он поддерживает около 140 поставщиков ИИ, включая OpenAI и Anthropic. Через шлюз организации маршрутизируют запросы, управляют API-ключами и правами пользователей, а также контролируют использование моделей и расходы. По данным статьи, проект имеет более 90 млн загрузок в месяц и свыше 61 тыс. отметок «звезда» на GitHub.
Исследователи Check Point Research (CPR) обнаружили в LiteLLM две уязвимости. Первая, CVE-2026-35029, связана с ошибкой контроля доступа и получила оценку 8,7 из 10 — высокий уровень опасности. Пользователь с минимальными правами мог получить доступ к административным функциям, управляющим конфигурацией шлюза. Это позволяло читать файлы на сервере, менять учётные данные администратора, загружать и запускать вредоносное ПО.
Вторая уязвимость, CVE-2026-59823, представляет собой SSRF — подделку серверного запроса. Она оценена в 5,3 из 10, что соответствует среднему уровню опасности. Пользователь мог заставить LiteLLM отправить API-запрос на сторонний сервер. Если сервер контролировали злоумышленники, они могли получить переданные вместе с запросом ключи доступа к поставщикам ИИ. Затем эти ключи позволили бы использовать чужие платные аккаунты и увеличить расходы организаций.
CPR отмечает, что сохранённые в шлюзе учётные данные дают прямой доступ к платным сервисам ИИ без дополнительной аутентификации. Из-за широкого распространения LiteLLM уязвимости могли затронуть множество систем одновременно.
Под угрозой находятся версии LiteLLM ниже 1.83.9. Исправления обеих проблем включены в версию 1.83.9, которую разработчики и исследователи рекомендуют установить как можно скорее. Следует проверить не только отдельные установки: LiteLLM может быть встроен в сторонние платформы и внутренние инструменты для создания ИИ-приложений, даже если организация не разворачивала его самостоятельно.
Рекомендации CPR: проверить, кто имеет доступ к шлюзу, поскольку для эксплуатации уязвимостей могла подойти любая учётная запись; убедиться, что пользователи с ограниченными ролями действительно ограничены в правах; при признаках несанкционированного доступа заменить сохранённые в LiteLLM API-ключи поставщиков ИИ. Также ИИ-шлюзы следует включать в тесты на проникновение и проверки уязвимостей наряду с веб-приложениями и облачной инфраструктурой.
Исследователи подчёркивают, что речь идёт о давно известных типах ошибок, характерных и для обычного корпоративного ПО. Поэтому ИИ-инфраструктуру необходимо защищать с той же строгостью, что и любую другую критически важную для бизнеса систему.
