- 两个 LiteLLM 漏洞允许低特权用户获得管理控制并执行恶意代码
- 攻击者可通过服务器端请求伪造（SSRF）漏洞窃取 AI 提供商的 API 密钥
- 建议组织升级至 LiteLLM 1.83.9+ 版本，并轮换可能已暴露的凭据
安全研究人员近日在广泛使用的开源 AI 网关 LiteLLM 中披露了两个严重漏洞。这些缺陷使攻击者能够完全接管系统、窃取敏感文件及 AI 提供商 API 密钥，并远程执行恶意代码。
LiteLLM 是一款开源解决方案，旨在通过单一接口将应用程序连接至包括 OpenAI、Anthropic 在内的大型语言模型（LLM）。该网关支持约 140 家 AI 提供商，具备路由请求、管理 API 密钥及控制用户访问等功能。目前，LiteLLM 在 GitHub 上的月下载量超过 9000 万次，星标数逾 61,000 个，拥有庞大的用户基础。
漏洞详情与风险
Check Point Research (CPR) 的安全专家发现了这两个关键漏洞：
首先是 CVE-2026-35029，这是一个访问控制错误，CVSS 评分为 8.7/10（高危）。该漏洞源于 LiteLLM 执行权限时的逻辑缺陷，允许拥有最小权限的用户访问管理功能并控制网关核心配置。利用此漏洞，攻击者可读取服务器存储的文件、覆盖管理凭证，甚至下载和运行恶意软件。
其次是 CVE-2026-59823，这是一个服务器端请求伪造（SSRF）错误，CVSS 评分为 5.3/10（中危）。该漏洞允许网关用户诱导 LiteLLM 向第三方服务器发送 API 请求。攻击者可利用此机制向自己控制的服务器发送请求，由于这些请求携带 AI 提供商的身份验证密钥，攻击者可直接获取凭证。此外，攻击者还可利用窃取的凭证滥用其他组织的 AI 账户，导致账单激增。
CPR 指出，存储在网关中的凭证提供了直接且可计费的 AI 提供商访问权限，无需进一步身份验证。鉴于 LiteLLM 的大规模采用，这些缺陷可能对大量人工智能部署产生广泛影响。
受影响版本与修复建议
所有运行早于 1.83.9 版本的 LiteLLM 实例均受上述两个漏洞影响。安全团队需特别注意，LiteLLM 常被嵌入到构建 AI 应用的平台和内部工具中，因此可能存在未被作为独立解决方案部署但依然脆弱的间接实例。
LiteLLM 已在版本 1.83.9 中发布了针对这两个错误的修复补丁，官方建议用户尽快升级。除了打补丁外，CPR 还提出了以下缓解措施：
- 审查网关访问权限，确认有限角色用户的实际限制是否生效，因为配置与强制执行之间的差距往往是此类漏洞造成最大损害的环节。
- 检查是否存在未经授权的用户访问迹象。
- 若发现异常或潜在泄露，应立即轮换存储在 LiteLLM 中的所有 AI 提供商 API 密钥。
- 在实践中验证权限设置的有效性。
研究人员强调，这两种漏洞属于“众所周知的错误类别”，表明 AI 基础设施面临的风险与传统企业软件无异。组织应以对待其他业务关键系统的同等严谨性来审视 AI 网关安全，并通过扩大渗透测试和脆弱性评估范围，将 LLM 网关纳入涵盖 AI 工具、Web 应用及云基础设施的整体安全体系中。
