Microsoft mapeia ataques reais contra gateways de IA como o LiteLLM, com roubo de credenciais e cryptomining
A equipe de Threat Intelligence da Microsoft documentou campanhas ativas explorando gateways de IA expostos, encadeando CVEs conhecidas em LiteLLM e Starlette para obter execucao remota de codigo, roubando chaves-mestre de provedores LLM via leitura de memoria de processo, e implantando persistencia e mineradores de criptomoeda. O artigo recomenda tratar gateways de IA como ativos Tier-0 de armazenamento de segredos, com chaves virtuais limitadas e regras de saida restritivas.
O relatorio da Microsoft descreve casos concretos de exploracao contra infraestrutura de IA voltada para producao, com destaque para o LiteLLM, um gateway amplamente usado para consolidar chaves de multiplos provedores de LLM em um unico ponto de acesso para aplicacoes internas. Os atacantes encadearam duas vulnerabilidades conhecidas -- uma falha de execucao de comando autenticada no proprio LiteLLM e um bypass de validacao de host-header no framework Starlette usado por baixo -- para obter execucao remota de codigo nao autenticada em implantacoes expostas na internet. Outros alvos documentados incluem o RAGFlow (falhas de injecao SSTI e path traversal) e o Kestra (bypass critico de autenticacao que permite a um atacante remoto definir fluxos maliciosos e disparar execucao de shell).
Apos o acesso inicial, a tecnica de coleta de credenciais chama atencao pela simplicidade: os atacantes leem `/proc/1/environ` do processo do gateway para extrair diretamente chaves de API, strings de conexao de banco de dados e tokens mestres em texto claro -- ou seja, segredos de altissimo valor ficando expostos na memoria do proprio processo, sem nenhuma camada adicional de protecao. Com essas credenciais, os atacantes acessam diretamente tabelas do banco de dados do LiteLLM (como ProxyModelTable e VerificationToken), o que da acesso as chaves de provedores consolidadas por toda a organizacao que usa aquele gateway -- fazendo de um unico gateway comprometido um ponto de falha para toda a cadeia de acesso a modelos de IA da empresa.
Alem do roubo de credenciais, a Microsoft documenta tecnicas classicas de persistencia (modificacao de authorized_keys SSH, entradas de cron, atributos de arquivo imutavel) e monetizacao via mineracao de criptomoeda com XMRig, com tecnicas de evasao como mascaramento de processos como daemons legitimos do Linux e uso de callbacks fora de banda para exfiltracao. Isso mostra que, apesar do rotulo de 'infraestrutura de IA', os atacantes aqui aplicam metodologia de intrusao bastante convencional -- o que muda e o valor do alvo: gateways de IA concentram credenciais de multiplos provedores externos, tornando-os um alvo de altissimo retorno comparado a um servidor generico comprometido.
A recomendacao central da Microsoft -- tratar gateways de IA como segredo Tier-0, usar chaves virtuais com limite de gastos em vez de compartilhar master keys, aplicar minimo privilegio e bloquear trafego de saida por padrao com allowlist de endpoints -- reflete uma categoria de risco ainda mal endereçada por muitas organizacoes que adotaram gateways de LLM rapidamente por conveniencia operacional, sem replicar os controles de seguranca ja maduros para outros sistemas que concentram segredos, como cofres de senha e gerenciadores de certificado.