事件经过
LiteLLM的代理对静态加密密钥和会话令牌重用了同一个加密上下文。一个经过认证的内部攻击者可以伪造管理员凭证，通过正常的API密钥流程进行加密，然后将生成的密文作为承载令牌重放——代理会信任伪造的管理员身份。这导致管理员访问权限和通过MCP stdio端点的任意命令执行。发布日期2026-10-22，CVSS 9.9（网络，低权限，影响范围变更）。
影响分析
LLM网关是组织与其模型提供商之间的关键节点。在默认配置下，权限提升至代理管理员意味着攻击者可以读取/轮换提供商密钥、检查提示和响应，并驱动网关的MCP工具面——这是AI部署中典型的网关级入侵。与10月21日较早的LiteLLM发布管道供应链事件不同：这是代理本身的认证/权限缺陷。
攻击途径
代理对静态密钥和会话令牌重用了一个加密上下文。低权限的认证内部用户构造包含伪造管理员凭证的元数据，该凭证由API密钥流程加密；将密文作为承载令牌重放会使代理信任伪造的管理员身份，授予管理员访问权限和通过MCP stdio端点的任意命令。从1.91.0起，此漏洞在默认配置下可利用（1.87.0–1.90.x需要EXPERIMENTAL_UI_LOGIN）。
受影响系统
LiteLLM（BerriAI/litellm）1.87.0–1.100.4, 1.101.0–1.101.3, 1.102.0–1.102.2, 1.103.0–1.103.1, 1.104.0-rc.1–rc.2
缓解措施
升级到修复版本1.100.4 / 1.101.3 / 1.102.2 / 1.103.1 / 1.104.0-rc.2。GitHub公告GHSA-7hp6-4w63-5g45。轮换通过网关可访问的任何密钥/凭证。