Microsoft alerta para ataques a LiteLLM

Microsoft detectou ataques reais contra LiteLLM, RAGFlow e Kestra, nos quais invasores roubaram chaves de modelos de IA, acessaram bases de dados e contêineres, se mantiveram em servidores e implantaram mineradores de criptomoedas. A companhia afirmou que, com alta confiança, a entrada inicial ocorreu por uma passagem exposta à internet.

O que a Microsoft viu em LiteLLM e RAGFlow?

A Microsoft observou que os invasores interceptavam configurações quando um usuário adicionava ou alterava uma conexão com um modelo de linguagem. Com isso, conseguiam capturar o nome do provedor, o modelo, a chave API e o endereço do serviço. O mecanismo foi visto em credenciais de OpenAI, Azure, Anthropic e Gemini.

Em RAGFlow, o blog oficial do Microsoft Security informou que os atacantes modificaram o método TenantLLM.insert() para interceptar, a cada evento de configuração de modelos, as chaves de API e os parâmetros de conexão antes de enviá-los para um servidor secundário de comando e controle. O SecurityLab Latam também associou o caso a possíveis rotas de exploração ligadas a CVE-2026-42271 e CVE-2026-48710, embora uma análise independente tenha esclarecido que a Microsoft não apresentou essas CVEs como causas confirmadas em todos os casos, e sim como caminhos de vulnerabilidade públicos relevantes.

O que aconteceu em Kestra?

Em Kestra, a Microsoft relacionou com alta confiança o acesso inicial à CVE-2026-49869, uma falha crítica no filtro de autenticação que permitia a um usuário remoto sem senha criar e executar seus próprios fluxos de trabalho. Uma nota técnica da CybersecurityNews acrescentou que os invasores usaram essa falha para criar fluxos maliciosos que instruíam os workers a executar comandos de shell.

A Microsoft detalhou ainda que, uma vez dentro, os invasores exploraram o acesso ao socket Docker para enumerar as variáveis de ambiente de todos os contêineres, por meio de Config.Env, e extrair segredos embutidos como credenciais de banco de dados, chaves de nuvem e API keys. Segundo a empresa, isso ampliou o impacto para além do sistema inicialmente comprometido.

¿Qué vulnerabilidades y patrones técnicos se describieron?

Um relatório técnico sobre MCP indicou que a CVE-2026-42271 afetava o LiteLLM entre as versões 1.74.2 e 1.83.6, e que foi corrigida na 1.83.7. Esse informe explicou que os endpoints de teste MCP aceitavam configurações com um campo de comando que era passado diretamente para um processo filho sem validação.

Outra investigação sobre honeypots de infraestrutura de IA descreveu um padrão de ataque em que os atores exploravam a CVE-2026-42271 com uma configuração MCP baseada em stdio, baixavam e executavam um minerador identificado como gmon e devolviam uma resposta MCP sintaticamente válida para que a prova de conexão parecesse bem-sucedida. A mesma análise observou que a CISA adicionou essa CVE ao catálogo KEV em junho de 2026, o que confirma exploração ativa além dos casos observados pela Microsoft.

Sobre a CVE-2026-48710, uma análise técnica explicou que se tratava de uma falha na validação do cabeçalho Host no Starlette, documentada originalmente no relatório BadHost, com correção no Starlette 1.0.1 e referência do CERT de Cibersegurança da Bélgica. O SecurityLab Latam sustentou que, em determinadas configurações, a combinação desse problema com a CVE-2026-42271 podia permitir execução de código sem credenciais válidas.

O que recomendou a Microsoft?

A Microsoft pediu para não expor interfaces administrativas desses sistemas diretamente na internet, instalar atualizações com regularidade, separar as chaves de usuário das chaves mestras dos provedores de modelos e guardar os segredos em cofres especializados, em vez de variáveis de ambiente. Em paralelo, classificou as passagens de IA como control points de alta criticidade e recomendou tratá-las como ativos Tier 0, no mesmo nível de controladores de domínio ou sistemas de gestão de identidades.

Um resumo para executivos da Cyber Roundtable apontou que o padrão comum em LiteLLM, RAGFlow e Kestra foi roubo de credenciais, persistência e monetização do poder de processamento comprometido por meio de criptomineração, com motivação financeira acima do espionagem tradicional. Isso recoloca em foco a exposição de passagens e configurações de infraestrutura de IA usadas em ambientes de nuvem, incluindo serviços como OpenAI, Azure, Anthropic e Gemini.