大模型
全球精选 ·
@Stephane Nachez
LiteLLM第三次漏洞被列入KEV：所有LLM代理都应警惕
美国CISA将LiteLLM的MCP模块认证绕过漏洞列入已知被利用漏洞目录，该漏洞已于5月14日修复。这是LiteLLM四个月内第三次被列入，凸显了集中管理API密钥和工具访问的LLM代理的安全风险。使用LiteLLM的组织应确认补丁已应用，并加强这些关键网关的安全措施。
AI推荐理由 报道了LiteLLM被CISA列入KEV目录的漏洞，强调LLM代理的安全风险，信息具体且具有时效性，对使用LLM代理的组织有警示作用。
70
正文
9月2日，美国网络安全机构CISA将七个漏洞添加到其积极利用漏洞目录KEV（已知被利用漏洞）中。其中包括CVE-2026-59822，这是LiteLLM中的一个身份验证绕过漏洞，LiteLLM是一个开源网关（MIT许可证，企业版目录之外），用于将应用程序的调用路由到OpenAI、Anthropic、Azure、Gemini以及一百多个其他采用OpenAI格式的API。联邦机构必须在9月16日之前完成修复。该信息仅在专业信息流中传播。然而，它影响的是许多企业在2025年安装但未将其视为关键资产的层，即介于其应用程序与模型提供商之间的代理。
一个伪造的Authorization标头就足够了
该机制由NVD条目和6月30日发布在BerriAI GitHub仓库上的安全公告描述。LiteLLM充当MCP（模型上下文协议）网关，是代理可以调用的工具服务器的单一入口点，具有按密钥、团队或组织分配的权限。对于受OAuth2保护的MCP服务器，身份验证管理器接受转发调用者的令牌。缺陷位于回退机制中。当LiteLLM密钥验证失败时，代码将此失败解释为OAuth2中继情况，并返回一个空的UserAPIKeyAuth对象，没有任何限制。一个伪造的Authorization标头，带有任何令牌，即可打开一个经过身份验证的MCP会话。
修复该问题的合并请求于4月25日开启，并于30日合并，描述了同一管理器中的两条绕过路径：这个以开放状态失败的OAuth2回退，以及一个检测公共路由的逻辑，该逻辑在完整URL（包括参数）中查找字符串“.well-known”。结合配置为接受所有密钥的MCP服务器，它们使未经身份验证的调用者能够获取工具列表并调用它们。该修复包含在5月14日发布的1.84.0版本中。GitHub在CVSS 4.0中评定该漏洞为8.8分；NIST在CVSS 3.1中评定为8.2分。CVE条目本身直到7月8日才发布，距修复版本发布近八周。
该漏洞的利用由Wiz记录，其研究团队声称发现了该漏洞。在8月27日的一篇博文中，该供应商描述了在模仿LiteLLM、Langflow、Flowise或Ollama的蜜罐上进行的90天遥测，并表示观察到带有单字符令牌的请求针对模型枚举端点。这是CISA在注册前要求的证据类型。其标准包括尝试利用，包括针对蜜罐的利用，并排除简单扫描和概念验证。
四个月内三个条目，其中两个涉及MCP模块
目录的JSON流（日期为9月4日）包含三个BerriAI LiteLLM条目。5月8日，API密钥验证中的SQL注入（CVE-2026-42208，CVSS 3.1评分为9.8，由腾讯云鼎安全实验室报告）：一个伪造的Authorization标头，发送到任何API路由，可访问代理的数据库及其管理的凭据。6月8日，一个命令注入漏洞（CVE-2026-42271）。两个用于在注册前测试MCP服务器的端点接受完整的stdio配置，包括命令，并在主机上以代理权限执行，任何持有密钥的人（即使权限较低）均可利用。这两个漏洞在1.83.7中修复；第三个在1.84.0中修复。
Wiz报告称，看到第二个漏洞被用于部署加密货币矿工，命令输出被返回到一个虚假MCP工具的描述字段中。9月2日，CISA在同一天还注册了Web框架Starlette的一个漏洞（CVE-2026-48710），并在条目中注明它“可能被链接”到6月的那个命令注入漏洞。
这一系列漏洞超出了LiteLLM。自2026年3月底以来，该目录已收录了十个针对开源AI基础设施工具的条目：五个针对Langflow（包括其IBM版本），三个针对LiteLLM，一个针对Ray（8月17日），一个针对MLflow（8月19日）。Langflow是2025年5月5日列表中的第一个，存在一个缺失身份验证的漏洞，ActuIA曾报道过。MLflow（ActuIA早在2023年4月就报道过其一个严重漏洞）现在也出现在列表中。
一个旨在集中密钥、预算和工具的网关
为什么网关对攻击者如此有吸引力？因为它被设计为集中化。LiteLLM代理持有其路由到的每个提供商的密钥，按团队应用预算和配额，记录请求，并且自MCP网关出现以来，充当代理可以调用的内部工具（数据库、代码仓库、消息系统、业务API）的门户。Wiz谈到“凭据集中化”：破坏代理可以访问下游的一切，而不仅仅是代理本身。
8月27日的博文还描述了一次成功入侵的后续步骤。攻击者不是搜索磁盘，而是查询进程的Python模块状态以提取内存中的主密钥，枚举LiteLLM特有的配置文件，然后测试哪些提供商在代理后面响应，以便在密钥窃取和欺诈性使用推理配额之间做出选择。在那些保留文档中默认主密钥的实例上，模型枚举立即发生。
这种架构并非设计错误，而是产品本身的承诺：一个单一的控制和支出点。其缺点是机械性的。中介层继承了它所连接的一切的关键性级别，而许多组织将其部署为便利组件，与仪表板并列，使用共享密钥，并采用为开发人员设计的网络暴露。四个月内三次KEV注册标志着这一时期的结束。LLM代理现在应获得与API网关或秘密管理器相同的处理，包括清单、所有者、及时更新以及将暴露减少到严格必要程度。
ST
Stephane Nachez
ActuIA编辑部——面向决策者的人工智能新闻、数据和分析。
该信息来自《回声报》，于9月2日傍晚以独家形式发布：国家与Mistral AI签署了一份新合同，以在多个部委部署人工智能用例。公共行动与账务部随后确认了该项目，据《资本》报道：2026-2027年期间600万欧元，一份非排他性合同，公司工程师在行政机构内借调。首先提到了三个项目：网络安全、反欺诈和某些争议的处理。
“法国国家必须保持竞争力，抓住这项技术提供的机会，并加强其防御以应对它可能产生的威胁”，David Amiel的办公室向《回声报》解释道。地方领土银行媒体Localtis报道了部长更简洁的说法：“迫切需要利用人工智能来保护自己免受人工智能的侵害”。
借调工程师而非许可证
合同的核心在于一个缩写，这是《回声报》从美国出版商词汇中借用的：FDE，即日报所称的“专职AI工程师”，这些前向部署工程师由供应商派驻客户现场，以使其模型适应当地数据和程序。Mistral将派遣这些工程师到各部委。该协议是在公开市场程序结束时达成的，托管方式可能因项目而异，包括Mistral的基础设施、Outscale云或行政机构的自有数据中心，根据Generation-NT报道的部委细节。
范围仍然广泛。在财政部方面，目标是检测欺诈行为。在司法部方面，《回声报》提到在批量争议上测试AI，这些重复性程序使法院不堪重负。网络安全被列在首位，但具体用途尚未公开详细说明；8月17日马蒂尼翁的新闻稿提到了漏洞检测，这是一个大型语言模型已有记录用途的领域。据《回声报》报道，Mistral已经在与陆军部合作开发用例，该部自2025年2月起部署了自己的内部生成式AI工具，并与法国劳动局和健康保险机构合作。
截至9月5日，经济与财政部的新闻空间显示的最新发布是David Amiel在伊夫林省的行程和贝尔西遗产日，日期为9月3日和4日。Mistral AI的新闻动态则没有提及，并保持其关于区域推理、Agentic Search和Shieldstral的返校公告。因此，截至该日期，协议的细节依赖于《回声报》的文章和部委对新闻界的回应。
一个已经过时、有具体数字并每三个月跟踪的网络计划
该合同是在马蒂尼翁早已确定的日历中签署的。4月30日，在两周前成为攻击目标的ANTS场所，Sébastien Lecornu宣布从France 2030中拨出2亿欧元，将DINUM和DITP合并为一个国家数字管理局，并将CNIL罚款分配给现代化基金。总理当时将国家的数字努力定位为“更接近1%而不是10%”，而企业将其用于基础设施。
夏季语气变得强硬。8月14日，DGFiP承认，6月和7月通过冒用一名工作人员和一名授权第三方的凭据获得的非法访问，被用于查阅和提取涉及678,000名个人和专业人士的税务和地籍数据。三天后，马蒂尼翁的一份新闻稿总结了路线图。一项包含40项行动、分为10个领域的紧急计划适用于所有部委。从2027年起，每个部委必须将其数字预算的5%用于网络安全。名为ARIANE的数字管理局必须在2027年1月1日之前行政上存在，军备总工程师Walter Arnaud已被任命领导该局。同一文本将“使用人工智能，特别是用于漏洞检测”列为已指示的措施，并宣布9月向部长提交David Amiel要求的DGFiP系统审计结果。
8月31日，在政府返校研讨会上，总理给每位部长“十五天”时间确保4月计划的实施，他的随行人员向franceinfo表示，截止日期为9月中旬。同一天，在部长会议上，国家教育部长指出，南特和图卢兹两个学区在夏季攻击后仍以部分暂停的服务运行。
6月的通用助手，新项目的基础
该合同延长了已经建立的关系。6月16日，David Amiel在贝尔西介绍了“我们的AI”计划和L'Assistant的推广，这是DINUM与Mistral AI在Outscale的SecNumCloud基础设施上开发的对话工具，面向所有国家工作人员。该工具结束了在六个试点部委10,000名工作人员中进行的十个月试验。DITP的评估报告指出，75%的测试者认为它对他们的工作有用，65%会推荐给同事，在文档综合方面节省了高达16%的时间。
司法部是提到的三个项目之一，已经领先。5月12日，该部在2,500名工作人员测试后，向数千名工作人员开放了“Mon Assistant Justice”，这是跨部门助手的变体。自2025年12月以来，总秘书处设有一个AI项目指导部门，两个专业工具“Mon Assistant Pénal”和“Mon Ass
查看原文（中文正文为 AI 翻译）
Le 2 septembre, l'agence américaine de cybersécurité CISA a ajouté sept vulnérabilités à son catalogue des failles activement exploitées, le KEV (Known Exploited Vulnerabilities). Parmi elles, CVE-2026-59822, un contournement d'authentification dans LiteLLM, passerelle open source (licence MIT, hors répertoire entreprise) qui route les appels des applications vers OpenAI, Anthropic, Azure, Gemini et une centaine d'autres API au format OpenAI. Les agences fédérales ont jusqu'au 16 septembre pour corriger. L'information n'a circulé que dans les flux spécialisés. Elle touche pourtant une couche que beaucoup d'entreprises ont installée en 2025 sans la traiter comme un actif critique, le proxy qui s'interpose entre leurs applications et les fournisseurs de modèles.
Un en-tête Authorization fabriqué suffisait
Le mécanisme est décrit par la fiche NVD et par l'avis de sécurité publié sur le dépôt GitHub de BerriAI le 30 juin. LiteLLM sert de passerelle MCP (Model Context Protocol), un point d'entrée unique vers les serveurs d'outils que les agents peuvent appeler, avec des droits attribués par clé, par équipe ou par organisation. Pour les serveurs MCP protégés par OAuth2, le gestionnaire d'authentification acceptait de relayer le jeton de l'appelant. Le défaut se logeait dans le repli. Quand la validation de la clé LiteLLM échouait, le code interprétait cet échec comme un cas de relais OAuth2 et renvoyait un objet UserAPIKeyAuth vide, sans aucune restriction. Un en-tête Authorization fabriqué, avec n'importe quel jeton, ouvrait une session MCP authentifiée.
La demande de fusion qui corrige le problème, ouverte le 25 avril et fusionnée le 30, décrit deux chemins de contournement dans le même gestionnaire, ce repli OAuth2 qui échoue en position ouverte et une détection des routes publiques qui cherchait la chaîne « .well-known » dans l'URL complète, paramètres compris. Combinés à des serveurs MCP configurés pour accepter toutes les clés, ils donnaient à un appelant non authentifié la liste des outils et la possibilité de les appeler. Le correctif figure dans la version 1.84.0, publiée le 14 mai. GitHub note la faille 8,8 en CVSS 4.0 ; le NIST, 8,2 en CVSS 3.1. La fiche CVE, elle, n'est publiée que le 8 juillet, près de huit semaines après la sortie de la version corrigée.
L'exploitation est documentée par Wiz, dont l'équipe de recherche revendique la découverte de la faille. Dans un billet du 27 août, l'éditeur décrit 90 jours de télémétrie sur des honeypots imitant LiteLLM, Langflow, Flowise ou Ollama, et dit avoir observé des requêtes munies d'un jeton d'un seul caractère visant les points d'énumération des modèles. C'est le type de preuve que la CISA exige avant inscription. Ses critères retiennent l'exploitation tentée, y compris contre un honeypot, et excluent le simple balayage comme la preuve de concept.
Trois entrées en quatre mois, deux sur le module MCP
Le flux JSON du catalogue, daté du 4 septembre, contient trois entrées BerriAI LiteLLM. Le 8 mai, une injection SQL dans la vérification des clés d'API (CVE-2026-42208, notée 9,8 en CVSS 3.1, signalée par Tencent YunDing Security Lab) : un en-tête Authorization forgé, envoyé à n'importe quelle route d'API, atteignait la base de données du proxy et les identifiants qu'elle gère. Le 8 juin, une injection de commande (CVE-2026-42271). Deux points de terminaison servant à tester un serveur MCP avant de l'enregistrer acceptaient une configuration stdio complète, commande comprise, et l'exécutaient sur l'hôte avec les droits du proxy, pour tout détenteur d'une clé, même peu privilégiée. Ces deux failles sont corrigées en 1.83.7 ; la troisième en 1.84.0.
Wiz rapporte avoir vu la deuxième servir à déposer un mineur de cryptomonnaie, la sortie des commandes étant renvoyée dans le champ description d'un faux outil MCP. Le 2 septembre, la CISA a d'ailleurs inscrit le même jour une faille du framework web Starlette (CVE-2026-48710), en précisant dans la fiche qu'elle « pourrait être chaînée » avec cette injection de commande de juin.
La série dépasse LiteLLM. Depuis fin mars 2026, le catalogue a accueilli dix entrées visant des outils d'infrastructure IA publiés en open source : cinq pour Langflow (dont sa déclinaison IBM), trois pour LiteLLM, une pour Ray le 17 août, une pour MLflow le 19 août. Langflow avait été le premier de la liste le 5 mai 2025, avec une faille d'authentification manquante qu'ActuIA avait signalée. MLflow, dont ActuIA rapportait une faille critique dès avril 2023, y figure désormais aussi.
Une passerelle conçue pour concentrer clés, budgets et outils
Pourquoi une passerelle intéresse-t-elle autant les attaquants ? Parce qu'elle a été conçue pour concentrer. Un proxy LiteLLM détient les clés de chaque fournisseur vers lequel il route, applique les budgets et les quotas par équipe, journalise les requêtes et, depuis l'arrivée de la passerelle MCP, sert de porte vers les outils internes que les agents peuvent appeler, bases de données, dépôts de code, messageries, API métier. Wiz parle de « concentration d'identifiants » : compromettre le proxy donne accès à ce qui se trouve en aval, pas seulement au proxy.
Le billet du 27 août décrit aussi la suite d'une intrusion réussie. Plutôt que de fouiller le disque, les attaquants interrogeaient l'état des modules Python du processus pour extraire la clé maîtresse en mémoire, énuméraient les fichiers de configuration propres à LiteLLM, puis testaient quels fournisseurs répondaient derrière le proxy, afin de choisir entre le vol de clé et l'usage frauduleux du quota d'inférence. Sur les instances laissées avec la clé maîtresse par défaut de la documentation, l'énumération des modèles suivait immédiatement.
Cette architecture n'est pas une erreur de conception, c'est la promesse même du produit, un point unique de contrôle et de dépense. Le revers est mécanique. La couche d'intermédiation hérite du niveau de criticité de tout ce qu'elle relie, et beaucoup d'organisations l'ont déployée comme un composant de commodité, à côté d'un tableau de bord, avec une clé partagée et une exposition réseau pensée pour les développeurs. Trois inscriptions au KEV en quatre mois signalent la fin de cette période. Un proxy LLM relève désormais du traitement réservé à une passerelle d'API ou à un gestionnaire de secrets, avec un inventaire, un propriétaire, des mises à jour sous délai et une exposition réduite au strict nécessaire.
ST
Stephane Nachez
Rédaction ActuIA — actualités, données et analyses sur l'intelligence artificielle pour les décideurs.