事件经过
Helicone 的 ai-gateway 是一个 LLM 可观测性/路由网关，其 AWS 元数据服务调度程序组件中存在 SSRF 漏洞，允许远程攻击者操纵 extracted_path_and_query 参数以到达内部端点。已发布可用的漏洞利用。
影响分析
Helicone 等 AI 网关在 LLM 流量前面处于特权网络位置，通常在附加了 IAM 角色的云计算上；针对云元数据服务的 SSRF 是获取实例角色凭证的著名路径，随后可用于转向托管 AI 基础设施的更广泛云环境。
攻击途径
ai-gateway/src/dispatcher/service.rs（AWS 元数据服务组件）中的 build_target_url 函数未能正确验证 extracted_path_and_query 参数，允许远程攻击者操纵请求路由以到达 AWS 实例元数据服务或其他内部/非预期端点（SSRF）。
受影响系统
Helicone ai-gateway 至 0.2.0-beta.30
缓解措施
截至披露，未确认供应商补丁；供应商未对早期披露做出回应。限制来自 ai-gateway 主机的出站网络访问，并在网络层禁用/过滤对云元数据端点（169.254.169.254）的访问作为补偿控制。