多年来，安全团队一直抱着一个令人安心的假设：漏洞披露后，他们仍有时间阅读安全公告、测试补丁并安排维护时段。
这种假设如今已不再适用。前沿AI模型大幅缩短了从漏洞发现到被主动利用的时间，使威胁行为者能够以更快、更低成本且更易获取的方式发起攻击。CVE-2026-42208是这一新现实的典型例证，也说明了为何仅依赖特征码的防御已不足以应对当前威胁。
了解LiteLLM及其漏洞
LiteLLM是BerriAI推出的开源代理，为100多家大语言模型（LLM）提供商提供统一接口，其中包括OpenAI、Anthropic和AWS Bedrock。LiteLLM已得到广泛采用，在GitHub上获得超过45,000颗星，PyPI月下载量达9,700万次。它位于企业AI管道的核心，将提供商API密钥、虚拟密钥、主密钥和PostgreSQL连接字符串集中存储在一个数据库中。CVE-2026-42208（CVSS评分为9.3）影响BerriAI LiteLLM 1.81.16至1.83.6版本。由于LiteLLM会将原始令牌直接拼接到查询中，未经身份验证的攻击者可通过特制的Authorization: Bearer标头注入SQL。
后果十分严重。攻击者一旦成功利用此漏洞，便可暴露整个凭据存储，其中可能同时包含OpenAI、Anthropic和AWS Bedrock的上游提供商密钥，以及虚拟代理密钥和主代理密钥。对于在LiteLLM中存储组织级或账户根级提供商凭据的组织而言，单个实例遭入侵所造成的运营影响相当于整个云账户遭入侵。
以AI速度武器化
然而，漏洞利用时间线才是重点，也是主要隐忧。LiteLLM 1.83.7-stable于2026年4月19日发布。该安全公告于4月20日发布到GitHub，并于4月24日被全球GitHub Advisory Database收录。收录后仅36小时，全球威胁研究社区便记录到首次经确认的漏洞利用尝试。
这正是我们此前的博客文章《后 Mythos 时代：为何 AI 驱动的防御已不再是可选项》中警示的时间线压缩问题。当漏洞利用流程以 AI 的速度推进时，仅依赖特征码的策略会使漏洞发现与防护之间的空档不断扩大，而人工生成特征码的流程无法应对仅有 36 小时的武器化窗口。
F5 Distributed Cloud WAF如何提供原生防护
这正是F5 Distributed Cloud WAF可以改变结果之处。它不依赖单一特征码匹配，而是通过Distributed Cloud WAF 的 AI 驱动型风险评分引擎关联多个检测层的多种信号，包括基于特征码的分析、攻击指标及关联分析、基于机器学习的分类，以及根据攻击可能性和影响得出的最终风险评分。
该引擎的核心是一个充当二级分类器的神经网络。当可疑请求片段触发受支持的攻击特征时，模型会评估标记的内容确实为恶意内容还是良性内容，并返回二元结果，据此调整请求的风险级别。
由于CVE-2026-42208本质上是通过Authorization: Bearer标头实施的SQL注入，因此明确属于SQLi类别，而该类别是可触发这种深度AI检查的受支持特征码类别之一。这正是F5 Web application and API protection (WAAP)解决方案旨在提供的漏洞利用前检测：将攻击指标与基于广泛真实环境遥测数据训练的神经网络相结合，在用于检测新型漏洞利用模式的特征码出现之前发现这些模式。
测试防御能力：仅靠签名还不够
我们已在两种配置下使用实际漏洞利用进行了验证。
测试A：默认配置文件（仅使用签名）：WAF未检测到此次攻击。隐藏在Authorization标头中的特制SQL载荷规避了纯静态签名匹配。
我们的LiteLLM服务器部署在F5 Distributed Cloud WAF之后，仅启用了默认配置文件。根据下方截图中的有效载荷，我们按照CVE-2026-42208（CVSS评分为9.3）所述方式，构造了一个直接隐藏在身份验证标头中的基于时间的盲SQL注入。由于该有效载荷避开了常规注入模式，因此完全绕过了基于静态规则的检测。
查看后端Postgres日志，可以清楚了解此有效载荷如何植入系统。
如下图所示，我们的Python脚本通过遍历二叉树，从Postgres表中提取API令牌：
与数据库进行比对后可以看到，脚本提取的令牌完全匹配，这证明该服务器已被彻底攻陷。
测试B：AI驱动的WAF：WAF阻止了此次攻击。神经网络正确地将注入的SQL片段判定为恶意内容，并执行了阻止操作。这一结果符合F5针对高威胁环境建议采用的平衡至积极防护策略。
查看我们的安全分析仪表板可以发现，F5 Distributed Cloud DNS Load Balancer的WAF现已被这些请求触发：
结论很明确：在签名检测的基础上叠加机器学习，可以捕获传统纯签名WAF遗漏的攻击；同时，神经网络作为辅助分类器，可将误报率控制在足够低的水平，从而能够放心地以阻断模式部署。这验证了F5的分层多信号方法：在不影响合法用户的情况下，减少手动调优，并缩短实现防护所需的时间。
建议与结论
运行面向互联网的LiteLLM实例的组织应立即更新至1.83.7版本，并轮换受影响部署中的所有提供商凭据，无论是否有漏洞利用证据。鉴于LiteLLM汇集了大量机密信息，最稳妥的做法是假定系统已遭入侵。
但仅靠修补仍会留下危险的防护空档。CVE-2026-42208表明，攻击者如今只需数小时而非数周，就能利用这一空档。从安全公告被收录到出现实际活跃利用，仅间隔36小时，根本来不及在攻击者具备攻击能力之前编写、测试并部署针对该CVE的特征码。
F5 Distributed Cloud WAF以不同的方式弥补这一防护空档。F5的AI驱动型风险评分引擎将攻击指标与基于真实遥测数据持续训练的神经网络相结合，为每个请求动态评定风险分数。F5 Distributed Cloud WAF能够分析恶意行为，识别隐藏在Authorization: Bearer标头中的SQL注入，而不是匹配某条具名规则。因此，F5可在漏洞利用发生前进行检测，覆盖特征码和补丁无法应对的时间窗口，并在客户能够修补漏洞之前提供原生防护。
随着恶意用户利用AI加快漏洞利用进程，防御方也必须借助AI跟上这一速度。要了解详情，请阅读我们的“F5扩展AI驱动的WAAP解决方案”公告，并访问F5 Distributed Cloud WAF网页。
关于作者
相关博客文章
三家企业如何借助AI驱动的WAF改进虚拟补丁和运行时安全
了解三家F5客户如何利用AI驱动的WAF加快虚拟补丁部署、将误报减少50%以上，并更有信心地启用阻断模式。
F5 BIG-IP v21.0增强S3工作流的AI数据交付与摄取能力
使用F5 BIG-IP 21.0版优化S3工作流：通过低接触式配置，为AI数据交付、对象存储和RAG管道提供可扩展的安全解决方案。
Everest Group报告：生成式AI行业应用的当前趋势与未来前景
我们很高兴能为全球知名研究机构Everest Group发布的一份重要新报告作出积极贡献。该报告题为《生成式AI应用：审视横向职能中的实际应用与未来展望》，深入分析了各行业对生成式AI（GenAI）的应用情况。报告指出，IT［……］