Оказалось, ИИ-шлюз LiteLLM можно захватить одним ключом: рядовой пользователь → админ прокси → RCE. Obsidian Security: CVSS 9,9.
Создаёте виртуальный ключ с
["/*"] в allowed_routes, и маршруты перестают проверяться. Потом /user/update делает вас админом. Остаётся подсунуть скрипт в Custom Code Guardrail, и он скомпилирует код через exec() без фильтрации. Разбор на Tproger.Патч — LiteLLM v1.83.14-stable, вышел 2 мая. Это не первый серьёзный инцидент с LiteLLM: до этого компрометировали PyPI-релизы и SQL-инъекцию эксплуатировали менее суток. Обновляться стоит раньше, чем объяснять утечку мастер-ключа.