Las pasarelas de IA se convierten en la superficie de ataque — la inclusión de LiteLLM en KEV y el camino a través de las claves, MCP y la nube
La omisión de autenticación MCP de BerriAI LiteLLM (CVE-2026-59822) ha entrado en el catálogo KEV de CISA, y Microsoft informa de atacantes que usan pasarelas LiteLLM para entregar XMRig. La investigación de Wiz halló que aproximadamente 1 de cada 10 de ~3,000 instancias públicas aceptaba la clave predeterminada sk-1234 o se ejecutaba sin autenticación. Examinamos qué significa que la infraestructura de IA sea una caja fuerte de credenciales.
Este artículo fue traducido por máquina.
En septiembre de 2026, CISA añadió la omisión de autenticación MCP de BerriAI LiteLLM, CVE-2026-59822, a su catálogo Known Exploited Vulnerabilities (KEV) (2 de septiembre, según la cronología de Wiz). El fallo permite que un token Bearer arbitrario establezca una sesión autenticada válida en el endpoint MCP Streamable HTTP de LiteLLM, y apareció junto a otros seis fallos explotados — incluidos SonicWall SMA 1000 y Sangoma Switchvox — en la actualización de KEV de principios de septiembre (según The Hacker News). LiteLLM es una pasarela de IA de código abierto que guarda las claves de API de cada proveedor de LLM configurado; según la estimación de Wiz, está presente en aproximadamente un tercio de los entornos de nube.
Los hechos: (1) La investigación de Wiz (publicada el 9 de septiembre) halló que, de aproximadamente 3,000 instancias de LiteLLM expuestas a internet, alrededor del 9.6% aceptaba la clave maestra predeterminada sk-1234 o no exigía autenticación alguna. En las instancias sin autenticación configurada, a cada usuario se le concedía PROXY_ADMIN de forma predeterminada, con lo que se alcanzaba la funcionalidad de administración sin credenciales (corregido desde entonces). (2) Con derechos de administración, un atacante puede usar la función de endpoint pass-through para hacer de proxy de solicitudes hacia URL internas arbitrarias — incluido el servicio de metadatos de AWS — y el mecanismo de reenvío de headers x-pass- anula el requisito de token de sesión de IMDSv2, lo que permite el robo de credenciales IAM de la nube. (3) En septiembre, Microsoft informó de atacantes que encadenaban CVE-2026-42271 y CVE-2026-48710 (la omisión de autenticación «BadHost» de Starlette) para entrar en pasarelas LiteLLM y entregar un minero XMRig mediante un binario ELF (según The Hacker News). Los ataques contra instancias expuestas de RAGFlow, por su parte, produjeron claves robadas de proveedores de LLM y metadatos, en lugar de ransomware.
Análisis (separado de los hechos): lo que estas historias muestran es que las pasarelas de IA han ido más allá de la etapa de «LLMjacking» — gastar el presupuesto de API de otra persona — para convertirse en una vía efectiva de intrusión en la nube. LiteLLM ejecuta Python en el servidor en cada solicitud de inferencia, puede hacer de proxy de solicitudes hacia URL internas arbitrarias y se conecta a herramientas externas mediante MCP. No es solo una caja fuerte de claves; es un puente hacia la red interna con capacidad de ejecución. Los activos que los defensores prefieren dejar aparte bajo un principio de diseño de «es IA, manténgalo interno» se convierten, para los atacantes, en un camino de varias etapas hacia las claves, IAM y las API internas, detrás de una sola omisión de autenticación. La brecha estructural entre los valores predeterminados pensados para la experiencia del desarrollador (sk-1234, PROXY_ADMIN cuando no está configurado) y el despliegue en producción merece señalarse como tal.
Implicaciones para la defensa: (1) Si usted ejecuta LiteLLM, actualice primero a v1.84.0 o posterior (corrección de CVE-2026-59822) y a v1.83.7 o posterior (corrección de CVE-2026-42271), además de Starlette 1.0.1 o posterior; confirme que la clave maestra predeterminada se ha cambiado y que la instancia no está expuesta a internet. (2) Rote todas las claves de API de proveedores almacenadas como si estuvieran comprometidas en el momento en que se confirme la exposición, y fije límites de gasto para acotar el daño cuando una clave sí se va. (3) Trate las funciones que conllevan ejecución arbitraria de código o proxy de URL arbitrarias — MCP, endpoints pass-through — como permisos de nivel de agente, que han de inventariarse por separado y desactivarse de forma predeterminada. (4) Audite otras pasarelas de IA y otros orquestadores de LLM con la misma lente: credenciales predeterminadas, funcionalidad de administración expuesta, proxy de URL internas. Esto es nuestro análisis, no una orientación del proveedor.
Los hechos de este artículo se extraen principalmente de la investigación de Wiz (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), de la versión de corrección de BerriAI LiteLLM (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable) y del catálogo KEV de CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), con la cobertura de The Hacker News como fuente secundaria (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html y https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html); la fecha de KEV del 2 de septiembre sigue la cronología de Wiz. Las secciones de análisis se mantienen separadas de la información factual. Nótese que los recuentos de instancias y la proporción de entornos de nube son estimaciones que dependen del momento y del método de medición.