كشفت أبحاث Wiz Research عن ثغرة خطيرة في بوابات LiteLLM المكشوفة على الإنترنت، حيث تبين أن ما يقارب واحداً من كل عشرة خوادم قبل المفتاح التجريبي “sk-1234” المستخدم في دليل الإعداد الرسمي للبرنامج. هذا المفتاح يمثل بيانات اعتماد المدير، ما يعني أن أي شخص يمتلكه يمكنه الوصول إلى جميع مفاتيح واجهات برمجة التطبيقات الخاصة بمزودي النماذج المخزنة على الخادم، إضافة إلى بيانات اعتماد IAM السحابية المرتبطة بالخادم نفسه.
خلفية الأرقام والاختبارات
في فبراير 2026، أجرت Wiz مسحاً عبر منصة Shodan فوجدت 3,074 بوابة LiteLLM، منها 294 قبلت المفتاح التجريبي. ومن بين هذه الحالات، 191 لم يتم تعيين أي مفتاح أساساً، ما جعلها تقبل أي قيمة. أما البقية فقد أبقت على القيمة الافتراضية “sk-1234”. وفي أغسطس، أظهر مسح ثانٍ أكثر من 85,000 حالة، لكن معظمها تبين أنها أنظمة اختبار أو honeypots، ما يجعل المقارنة غير دقيقة.
لماذا يمثل المفتاح خطراً مضاعفاً؟
المفتاح الرئيسي في LiteLLM يؤدي وظيفتين في آن واحد:
- هو بيانات اعتماد المدير.
- وهو أيضاً المفتاح الذي يفعّل آلية التحقق.
قبل الإصدار 1.82.0-stable، كان أي خادم يبدأ دون مفتاح رئيسي يمنح جميع الطلبات الواردة صلاحيات المدير الكاملة. هذا يعني أن أي مهاجم يمكنه الوصول إلى مفاتيح المزودين، الاطلاع على كل الطلبات والردود، وربط البوابة بأدوات داخلية عبر بروتوكول MCP. الأخطر أن هذه البوابات غالباً ما تعمل بصلاحيات سحابية واسعة، ما يفتح الباب أمام هجمات مثل LLMjacking، حيث يستغل المهاجم موارد الذكاء الاصطناعي على حساب الضحية.
ثغرات الحماية وتباين التقييمات
أبرز الثغرات التي أُبلغ عنها:
- CVE-2026-59821: تجاوز فحص الحماية في الحواجز البرمجية، ما يسمح بتنفيذ تعليمات برمجية داخل الحاوية. Wiz صنفتها كتنفيذ أوامر بمستوى الجذر، بينما اعتبرتها LiteLLM منخفضة الخطورة.
- CVE-2026-40217: هروب من بيئة العزل باستخدام تقنيات bytecode، ما يمنح المهاجم صلاحيات الجذر في صورة Docker الافتراضية.
- CVE-2026-59822: تجاوز التحقق في جلسات MCP باستخدام أي رمز Bearer، حتى لو كان حرفاً واحداً فقط، وقد أدرجتها CISA في قائمة الثغرات المستغلة فعلياً.
- CVE-2026-42271: تنفيذ أوامر على المضيف عبر نقاط اختبار MCP، وقد استغلها مهاجمون فعلياً لتثبيت برمجيات تعدين العملات الرقمية.
استغلالات فعلية وتحذيرات مايكروسوفت
سجلت Wiz استخدام بعض هذه الثغرات ضد أنظمة اختبارها منذ يوليو، فيما وثقت Microsoft حالات استغلال واقعية تضمنت سرقة المفاتيح الرئيسية ومفاتيح المزودين وقواعد البيانات. الشركة شددت على ضرورة التعامل مع بوابات الذكاء الاصطناعي باعتبارها مخازن أسرار من المستوى الأول (Tier-0 secrets stores).
ما الذي يجب فعله الآن؟
- تغيير المفتاح الرئيسي من “sk-1234” إلى قيمة عشوائية طويلة، دون الحاجة إلى ترقية.
- الترقية إلى الإصدار 1.84.0 أو أحدث، حيث تمت معالجة جميع الثغرات المعلنة.
- حجب نقاط اختبار MCP والواجهات الخاصة بالحواجز البرمجية عبر API Gateway أو reverse proxy.
- تقييد وصول الشبكة الخارجي للحاويات ومنح أقل صلاحيات ممكنة لحسابات IAM.
- مراجعة الحواجز البرمجية المسجلة والتأكد من عدم وجود إدخالات مشبوهة، ثم تدوير المفاتيح وقواعد البيانات عند الاشتباه بالاختراق.
