Gateway AI menjadi permukaan serangan — pencatatan KEV LiteLLM dan jalur melalui kunci, MCP, serta cloud
Bypass autentikasi MCP pada BerriAI LiteLLM (CVE-2026-59822) telah masuk katalog KEV CISA, dan Microsoft melaporkan penyerang menggunakan gateway LiteLLM untuk mengirim XMRig. Riset Wiz menemukan kira-kira 1 dari 10 dari ~3,000 instans publik menerima kunci bawaan sk-1234 atau berjalan tanpa autentikasi. Kami menelaah apa artinya bahwa infrastruktur AI adalah brankas kredensial.
Artikel ini diterjemahkan oleh mesin.
Pada September 2026, CISA menambahkan bypass autentikasi MCP pada BerriAI LiteLLM, CVE-2026-59822, ke katalog Known Exploited Vulnerabilities (KEV) (2 September, menurut linimasa Wiz). Cacat ini membiarkan Bearer token yang sembarang membentuk sesi terautentikasi yang sah pada endpoint MCP Streamable HTTP milik LiteLLM, dan muncul bersama enam cacat lain yang dieksploitasi — termasuk SonicWall SMA 1000 dan Sangoma Switchvox — dalam pembaruan KEV awal September (menurut The Hacker News). LiteLLM adalah gateway AI sumber terbuka yang menyimpan kunci API untuk setiap penyedia LLM yang dikonfigurasi; menurut perkiraan Wiz, ia hadir di kira-kira sepertiga lingkungan cloud.
Fakta: (1) Riset Wiz (diterbitkan 9 September) menemukan bahwa dari kira-kira 3,000 instans LiteLLM yang menghadap internet, sekitar 9.6% menerima kunci master bawaan sk-1234 atau tidak memerlukan autentikasi sama sekali. Pada instans yang autentikasinya tidak dikonfigurasi, setiap pengguna diberi PROXY_ADMIN secara bawaan, sehingga menjangkau fungsionalitas admin tanpa kredensial (sejak itu telah diperbaiki). (2) Dengan hak admin, penyerang dapat menggunakan fitur endpoint pass-through untuk memproksi permintaan ke URL internal yang sembarang — termasuk layanan metadata AWS — dan mekanisme penerusan header x-pass- mengalahkan persyaratan token sesi IMDSv2, sehingga memungkinkan pencurian kredensial IAM cloud. (3) Pada September, Microsoft melaporkan penyerang merangkai CVE-2026-42271 dan CVE-2026-48710 (bypass autentikasi 'BadHost' pada Starlette) untuk masuk ke gateway LiteLLM dan mengirim miner XMRig melalui biner ELF (menurut The Hacker News). Serangan terhadap instans RAGFlow yang terpapar, sementara itu, menghasilkan kunci penyedia LLM dan metadata yang dicuri, bukan ransomware.
Analisis (dipisahkan dari fakta): yang ditunjukkan cerita-cerita ini adalah bahwa gateway AI telah bergerak melampaui tahap 'LLMjacking' — membelanjakan anggaran API milik orang lain — menjadi jalur intrusi cloud yang sesungguhnya. LiteLLM mengeksekusi Python sisi server pada setiap permintaan inferensi, dapat memproksi permintaan ke URL internal yang sembarang, dan terhubung ke alat eksternal melalui MCP. Ia bukan semata brankas kunci; ia adalah jembatan ke jaringan internal dengan kemampuan eksekusi. Aset yang pihak bertahan cenderung menyingkirkan di bawah prinsip desain 'ini AI, jaga tetap internal' menjadi, bagi penyerang, jalur multi-tahap menuju kunci, IAM, dan API internal di balik satu bypass autentikasi. Celah struktural antara nilai bawaan yang dirancang untuk pengalaman pengembang (sk-1234, PROXY_ADMIN ketika tidak dikonfigurasi) dan penerapan produksi layak dinamai sebagaimana adanya.
Implikasi defensif: (1) Jika Anda menjalankan LiteLLM, pertama perbarui ke v1.84.0 atau lebih baru (perbaikan CVE-2026-59822) dan v1.83.7 atau lebih baru (perbaikan CVE-2026-42271), plus Starlette 1.0.1 atau lebih baru; pastikan kunci master bawaan telah diubah dan instans tidak terpapar internet. (2) Rotasikan semua kunci API penyedia yang tersimpan seolah-olah sudah terkompromi pada saat paparan dikonfirmasi, dan tetapkan batas pembelanjaan untuk membatasi kerusakan ketika sebuah kunci memang terbawa pergi. (3) Perlakukan fitur yang membawa eksekusi kode sembarang atau proksi URL sembarang — MCP, endpoint pass-through — sebagai izin tingkat agen yang diinventarisasi secara terpisah dan dinonaktifkan secara bawaan. (4) Audit gateway AI dan orkestrator LLM yang lain dengan lensa yang sama: kredensial bawaan, fungsionalitas admin yang terpapar, proksi URL internal. Ini adalah analisis kami, bukan panduan vendor.
Fakta dalam artikel ini diambil terutama dari riset Wiz (https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), rilis perbaikan BerriAI LiteLLM (https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable), dan katalog KEV CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), dengan pemberitaan The Hacker News sebagai sekunder (https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html dan https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html); tanggal KEV 2 September mengikuti linimasa Wiz. Bagian analisis dijaga terpisah dari pelaporan faktual. Perlu dicatat bahwa jumlah instans dan pangsa lingkungan cloud adalah perkiraan yang bergantung pada waktu dan metode pengukuran.