自托管 LiteLLM 加固清单：master key 同时是管理界面密码

文章整理自托管 LiteLLM 代理的安全默认值问题，指出其 master key 同时用于加密存储密钥和签发会话令牌。文中引用 GHSA-7hp6-4w63-5g45（CVSS 9.9，影响 1.91.0 至 1.100.4 等版本，internal_user 角色可提权为代理管理员）和 GHSA-g5ff-637f-6q2m（1.95.0 之前 internal_user_viewer 可经 vertex_ai_credentials 读取主机本地文件），并提醒部分公告无 CVE 编号，仅靠 CVE 扫描器不会告警。内容基于 LiteLLM 文档、源码和安全公告（截至 2026 年 10 月 13 日，最新版本 1.105.0）。

AI推荐理由 针对自托管 LiteLLM 的安全加固清单，引用具体 GHSA 编号、CVSS 评分和受影响版本区间，指出 CVE 扫描器可能漏报的问题，对运维和平台团队有直接可操作价值。信息密度高、依据明确，但属第三方整理而非官方公告。