LiteLLM: ثغرة MCP تجاوز المصادقة تحول بوابة الذكاء الاصطناعي إلى مركز بيانات

مقدمة تحليلية

أضافت CISA في 2026-09-02 الثغرة CVE-2026-59822 إلى كتالوج الثغرات المعروفة والمستغلة (Known Exploited Vulnerabilities)، ما يؤكد خطورة تجاوز المصادقة في نقطة نهاية MCP Streamable HTTP الخاصة بـ LiteLLM قبل الإصدار 1.84.0. تُصنّف الثغرة ضمن CWE-287 (المصادقة غير الصحيحة) وتحمل درجة CVSS 3.1 تبلغ 8.8، مما يجعلها نقطة دخول حرجة للبنى التحتية الذاتية الاستضافة للنماذج اللغوية الكبيرة. تعمل بوابات LiteLLM كمركز مركزي لمفاتيح API الخاصة بمقدمي الخدمات المتعددين، وتصدر مفاتيح افتراضية للتطبيقات الداخلية، وتسجل الاستخدام، وتفرض حدود الإنفاق. مع دعم MCP، تحولت هذه البوابة إلى نقطة تحكم لأدوات يمكنها الوصول إلى قواعد البيانات، ومستودعات الأكواد، وواجهات برمجة التطبيقات الداخلية. تركيز الاعتمادات والوصول في خدمة واحدة يرفع بشكل كبير من المخاطر الأمنية لأي ثغرة مصادقة، محولاً ما كان مجرد حل توجيهي إلى هدف ثمين للمهاجمين.

التحليل التقني

يكمن العيب في LiteLLM قبل الإصدار 1.84.0 في كيفية تعامل نقطة نهاية MCP Streamable HTTP مع فشل التحقق من المفتاح. تدعم نقطة النهاية هذه تمرير OAuth2. في الإصدارات المعرضة للخطر، كان فشل التحقق من مفتاح LiteLLM في هذا المسار يؤدي إلى الرجوع إلى كائن `UserAPIKeyAuth` فارغ بدلاً من رفض الطلب. هذا النمط، المعروف بـ "fail-open" بدلاً من "fail-closed"، سمح لطلب يحمل ترويسة `Authorization` مزورة — بما في ذلك توكن Bearer غير صالح عمداً — بتشغيل هذا الرجوع ومعاملته كطلب مصادق عليه. بهذه الآلية، تمكن المتصل غير المصادق عليه من إدراج واستدعاء أدوات MCP التي تم تكوينها على البوابة.

• الثغرة المستغلة: CVE-2026-59822 (GHSA-7488-6r32-c95q)
• الإصدارات المتأثرة: LiteLLM قبل 1.84.0
• التصنيف: CWE-287 (مصادقة غير صحيحة)
• درجة CVSS 3.1: 8.8

أصبح MCP وسيلة شائعة للوكلاء لاستدعاء الأدوات، وتقع بوابة MCP بين هؤلاء الوكلاء وأي موارد يمكن للأدوات الوصول إليها. هذا الموقع هو ما يرفع المخاطر. أبحاث أمنية نُشرت في سبتمبر 2026 من قبل Wiz وبشكل منفصل من قبل Microsoft وصفت حملات مستمرة ضد بنى تحتية للذكاء الاصطناعي يمكن الوصول إليها عبر الإنترنت، بما في ذلك خوادم MCP وبوابات LiteLLM. ربط النشاط المبلغ عنه ثغرة تجاوز المصادقة في LiteLLM MCP بسلسلة من الثغرات، تحديداً مشكلة حقن الأوامر في نقاط نهاية اختبار MCP (CVE-2026-42271) وعيب في معالجة ترويسة المضيف في Starlette (CVE-2026-48710)، لتحقيق تنفيذ تعليمات برمجية عن بعد غير مصادق عليه. ربط الباحثون هذه السلسلة بمجموعة برامج الفدية Qilin. كما وصف نفس التقرير المهاجمين وهم يقرأون ذاكرة عملية Python قيد التشغيل لاستعادة المفتاح الرئيسي لوكيل LiteLLM بدلاً من قراءته من القرص، وإخفاء ثنائيات التعدين داخل أدلة موجهة للذكاء الاصطناعي مثل `.claude` تحت أسماء غير ضارة.

إجراءات التصحيح والتخفيف

يتطلب التصحيح الفوري ترقية LiteLLM إلى الإصدار 1.84.0 أو أحدث. كإجراء تخفيفي مؤقت، يمكن تعطيل نقطة نهاية MCP Streamable HTTP عن طريق تعيين `LITELLM_MCP_STREAMABLE_HTTP_ENABLED=false`، وفرض التحقق من `Authorization` عند الوكيل العكسي لمنع الترويسات المزورة من الوصول إلى التطبيق. يتوجب على المشغلين أيضاً مراجعة أدوات MCP التي تعرضها البوابة وما يمكن لتلك الأدوات الوصول إليه، وتدوير مفاتيح API الخاصة بالمزود وأي مفاتيح افتراضية صادرة عن البوابة إذا كان الوصول إليها ممكناً من شبكة غير موثوقة. يُعد جرد مكونات الذكاء الاصطناعي صراحة وتطبيق مبدأ الحد الأدنى من الامتيازات لهوية البوابة خطوة أساسية، حيث أن امتلاك الوكيل لأذونات IAM واسعة يمكن أن يحول تجاوز المصادقة إلى مسار لاعتمادات السحابة.

السياق وتأثير السوق

تغير دور بوابة الذكاء الاصطناعي من مجرد أداة توجيه إلى مركز رئيسي للاعتمادات، وهو ما يضعها في مرمى أهداف أكثر قيمة. تُعد بوابات LiteLLM حاسمة في العديد من عمليات نشر LLM الذاتية الاستضافة، حيث تدير مفاتيح API لمقدمي النماذج المتعددين وتصدر مفاتيح افتراضية للخدمات الداخلية. ما يميز هذا عن الأنظمة السابقة أو المنافسة هو تركيز الاعتمادات والقدرة على الوصول. لم تكن التطبيقات أحادية الغرض في الماضي تحمل نفس القدر من الثقل الأمني، حيث كان اختراق نقطة نهاية واحدة يعني عادة الوصول إلى خدمة واحدة. اليوم، تجاوز مصادقة في بوابة LiteLLM يعني وراثة صلاحية الوصول التي تم تكوينها للبوابة ككل، والتي قد تشمل الاتصال بقواعد البيانات ومستودعات الأكواد وواجهات برمجة التطبيقات الداخلية، حسب تكوين أدوات MCP. تتوافق الأبحاث الصادرة عن Wiz (2026-09-09) وMicrosoft (سبتمبر 2026) حول استهداف البنى التحتية للذكاء الاصطناعي مع هذا التقييم. فقد كشفت تلك التقارير عن حملات مستمرة ضد خوادم MCP وبوابات LiteLLM التي يمكن الوصول إليها عبر الإنترنت. هذا التطور يعكس تحولاً في تركيز المهاجمين، حيث أصبحت بوابات الذكاء الاصطناعي تُعامل كنقاط دخول أولية وليست مجرد إضافات ثانوية. فقد تم استغلال ثغرة LiteLLM في سلسلة مع CVE-2026-42271 وCVE-2026-48710 لتحقيق تنفيذ تعليمات برمجية عن بعد، ما يبرهن على أن مجرد تحديث البرمجيات ليس كافياً. استعادة المفتاح الرئيسي من ذاكرة العملية بدلًا من القرص، وإخفاء الثنائيات الخبيثة في أدلة نظام التشغيل ذات الصلة بالذكاء الاصطناعي مثل `.claude`، يشير إلى تعقيد أساليب المهاجمين وإدراكهم للقيمة الاستراتيجية لهذه البوابات.