月下载量超过 9000 万次的 AI 网关 LiteLLM，被 Check Point Research（CPR）发现两个高危漏洞。只要版本低于 1.83.9，攻击者就能用最低权限的账号接管整个网关、读取服务器文件、植入恶意代码，甚至把企业存在网关里的 AI 厂商 API 密钥直接偷走。
LiteLLM 是一个开源 AI 网关，作用是把应用和 OpenAI、Anthropic 等不同厂商的大模型接到同一个接口上，用户可以在里面路由请求、管理 API 密钥、控制访问权限、监控用量和成本。它目前支持约 140 家 AI 厂商，GitHub 月下载量超过 9000 万次，星标数超过 61000。
第一个漏洞是权限控制缺陷，编号 CVE-2026-35029，严重性评分 8.7/10（高危）。CPR 指出，拥有极低权限的用户可以触达管理网关核心配置的管理员功能，进而读取服务器上的文件、覆写管理员凭据、下载并运行恶意软件。
第二个漏洞是服务端请求伪造（SSRF），编号 CVE-2026-59823，评分 5.3/10（中危）。网关用户可以让 LiteLLM 向第三方服务器发送 API 请求。由于这些请求会携带 AI 厂商的认证密钥，攻击者只要把请求指向自己控制的服务器，就能直接拿到凭据，然后用别家组织的 AI 账号消费、把账单算到对方头上。
CPR 在说明中强调：“网关持有的凭据可以直接、可计费地访问 AI 厂商，且不需要额外认证。考虑到 LiteLLM 的采用规模，这个组件上的一个缺陷，可能同时影响数量极多的 AI 部署。”
修复方面，LiteLLM 已在 1.83.9 版本中同时修补两个漏洞，所有低于该版本的实例都受影响。安全团队还需要排查“间接运行”的 LiteLLM——它被嵌入在许多用于构建 AI 应用的平台和内部工具里，可能出现在从未单独部署过它的环境中。
CPR 建议：尽快升级到 1.83.9 或更高版本；审查谁有权访问网关，因为任何账号都可能被用来利用这些漏洞；如果发现网关曾被未授权访问，应轮换存放在 LiteLLM 中的 AI 厂商 API 密钥，并实际验证权限是否生效。
“要确认权限受限的用户确实受到了限制，因为‘配置的权限’和‘实际执行的权限’之间的差距，正是 CVE-2026-35029 这类漏洞造成最大破坏的地方。”CPR 警告说，同时建议把 LLM 网关纳入安全评估，让渗透测试和漏洞评估覆盖 AI 工具，而不只是 Web 应用和云基础设施。
研究人员认为，这两个漏洞都属于“已被充分理解的一类错误”，说明 AI 基础设施面临的风险和企业软件并无不同。组织需要“用对待任何其他业务关键系统同样的严谨态度”来对待 AI 网关安全。
