Критическая уязвимость угрожает миллионам ИИ-агентов и сервисов

Миллионы ИИ-агентов и инструментов по всему миру оказались под угрозой из-за критической уязвимости. Она позволяет хакерам получить доступ к серверам, похитить конфиденциальные данные и учетные данные сторонних аккаунтов. Об этом предупреждает исследователь безопасности.

Уязвимость обнаружена во фреймворке с открытым исходным кодом Starlette, который, по данным его разработчика, еженедельно скачивается 325 миллионов раз. Тысячи других проектов с открытым исходным кодом также уязвимы, поскольку они зависят от Starlette. Фреймворк является реализацией ASGI (асинхронный интерфейс шлюза сервера), который позволяет эффективно обрабатывать большое количество запросов одновременно. Starlette служит основой для FastAPI и многих других широко используемых фреймворков при создании сервисов в Python-приложениях.

Легкость эксплуатации: миллионы серверов под угрозой

ASGI, а следовательно и Starlette, имеют доступ к серверам, использующим MCP (протокол контекста модели). Этот протокол позволяет ИИ-агентам от крупных поставщиков получать доступ к внешним источникам: базам данных пользователей, электронной почте, календарям и другим ресурсам. Для подключения к этим внешним системам MCP-серверы хранят соответствующие учетные данные, что делает их крайне ценной целью для злоумышленников.

Уязвимость, отслеживаемая как CVE-2026-48710 и известная под названием BadHost, легко эксплуатируется и эффективна против большинства систем, не защищенных должным образом настроенным межсетевым экраном (файрволом). Помимо FastAPI, также затронуты другие широко используемые пакеты, включая vLLM и LiteLLM. BadHost затрагивает версии Starlette до 1.0.1, которая была выпущена в пятницу.

По словам исследователей из Secwest, внедрение всего одного символа в заголовок HTTP Host позволяет обойти авторизацию на основе пути в Starlette, который является ядром маршрутизации FastAPI. Через FastAPI эта примитивная атака (отслеживаемая как CVE-2026-48710 и названная BadHost ее первооткрывателями) затрагивает значительную часть экосистемы инструментов ИИ на Python. В их числе: vLLM (где была обнаружена ошибка), LiteLLM, Text Generation Inference, большинство прокси-сервисов OpenAI-shim, MCP-серверы, среды агентов, панели оценки и пользовательские интерфейсы управления моделями.

Уязвимости BadHost присвоен рейтинг серьезности 7 из 10. Однако, по мнению Secwest, эта классификация “существенно недооценивает” угрозу, которую она представляет для пользователей других приложений, зависящих от Starlette. Компания по кибербезопасности X41 D-Sec, обнаружившая уязвимость, охарактеризовала ее как “критически серьезную”. X41 D-Sec в сотрудничестве с другой компанией, Nemesis, разработала онлайн-сканер для проверки серверов на наличие этой уязвимости.