Quase um em cada dez gateways LiteLLM aceitam a chave de admin padrão 'sk-1234', revela Wiz

A empresa de segurança Wiz descobriu que 294 de 3.074 servidores LiteLLM acessíveis publicamente, 9,6%, aceitaram a chave mestre de exemplo "sk-1234" da própria documentação do software ou não exigiram autenticação alguma. LiteLLM é um popular gateway de código aberto que as empresas usam para direcionar tráfego para provedores de IA. Wiz encadeou essa exposição com várias falhas, agora corrigidas, para obter execução de código em nível root e roubar credenciais de nuvem, e um dos bugs já está na lista de vulnerabilidades exploradas no mundo do governo dos EUA.

Fatos principais

• 9,6% de 3.074 instâncias LiteLLM expostas à internet em uma varredura de fevereiro de 2026 aceitaram a chave padrão ou não tinham autenticação; 191 delas, 6,2%, não tinham autenticação alguma.
• Quando: Wiz publicou a pesquisa em 9 de setembro de 2026, após apresentá-la na DEF CON 34. A CISA adicionou a falha de bypass do MCP ao seu catálogo de vulnerabilidades exploradas em 2 de setembro.
• Quem: Pesquisadores da Wiz, Amitai Cohen e Yaara Shriki, que usaram o Claude Code da Anthropic para pesquisar a base de código do LiteLLM.
• Fonte primária: Relato da Wiz e avisos de segurança do LiteLLM.

O painel de controle no meio da sua pilha de IA

LiteLLM fica entre as aplicações de uma empresa e mais de 100 provedores de IA, incluindo OpenAI, Anthropic, AWS Bedrock e Google Vertex AI. As empresas direcionam o tráfego através dele para gerenciar chaves de API, impor orçamentos e aplicar restrições em um só lugar. De acordo com os dados da Wiz, ele está presente em cerca de um terço dos ambientes de nuvem.

Isso o torna um ponto único que detém tudo. Como a Wiz coloca, uma instância LiteLLM "pode manter chaves de API para todos os provedores LLM configurados, processar todos os prompts e respostas que fluem através dele e conectar-se a ferramentas externas via MCP," o Modelo de Protocolo de Contexto que liga modelos de IA a bancos de dados, repositórios de código e ferramentas de chat.

O medo usual com um gateway exposto é o "LLMjacking," estranhos acumulando uma conta de IA em suas chaves. A Wiz queria saber se um atacante poderia fazer pior. "Decidimos usar o Claude Code para trabalhar na base de código do LiteLLM, procurando recursos que aceitam entrada controlada pelo usuário e a passam para um contexto de execução," escrevem os pesquisadores.

O que eles encontraram

Uma senha de um caractere. O endpoint MCP do LiteLLM deveria passar tokens não reconhecidos para serviços upstream. Em vez disso, quando um token falhava na validação, o manipulador "captura o erro 401 e retorna silenciosamente um objeto de autenticação vazio - concedendo acesso como se a solicitação estivesse autenticada." A Wiz mostrou que o cabeçalho Authorization: Bearer a "é suficiente para estabelecer uma sessão MCP totalmente autenticada," dando acesso a quaisquer ferramentas que o gateway conecta. Isso é CVE-2026-59822, corrigido na versão 1.84.0. A Wiz diz que viu a falha explorada em seus honeypots em julho.

Restrições que rodavam como root. O LiteLLM permite que administradores escrevam código de "guarda" personalizado que verifica cada solicitação. O botão de teste executava esse código em um sandbox restrito, mas o endpoint que realmente salva o guarda não o fazia. O conceito de prova da Wiz retornou uid=0(root). Isso é CVE-2026-59821, corrigido na versão 1.82.0; o próprio aviso do LiteLLM classifica como baixa severidade.

Admin para todos por padrão. Antes da correção, quando nenhuma chave mestre era configurada, "o manipulador de autenticação do LiteLLM atribuía globalmente o papel PROXY_ADMIN a cada solicitação recebida."

A chave na documentação. Os guias de início rápido do LiteLLM usam sk-1234 como a chave mestre de exemplo, e essa chave também assina tokens de sessão, então qualquer um que a conheça pode forjar um login. "Até hoje, a chave mestre ainda é definida por padrão como sk-1234 ao instalar o LiteLLM via Docker compose ou pip install," escreve a Wiz.

É como um prédio cuja chave mestre é enviada estampada "1234," com um aviso no saguão dizendo isso.

Do gateway para a nuvem. Um administrador do LiteLLM pode criar rotas de passagem para qualquer endereço da web. A Wiz apontou uma para o serviço de metadados interno do servidor de nuvem e obteve credenciais AWS ao vivo, mesmo derrotando a proteção mais forte do IMDSv2 da AWS ao abusar do encaminhamento de cabeçalho. O LiteLLM trata os administradores como confiáveis, então isso não é considerado uma vulnerabilidade e não foi corrigido. Combinado com uma chave padrão, torna-se uma rota para um atacante externo entrar na conta de nuvem.

Por que isso importa

Os gateways de IA passaram de conveniência para desenvolvedores a infraestrutura crítica em cerca de dois anos, e sua segurança não acompanhou. "Esses sistemas precisam ser tratados como ativos de segurança de Tier-1 em vez de ferramentas de desenvolvedor," conclui a Wiz. O Hacker News reportou que a Microsoft, descrevendo uma intrusão separada através de um gateway LiteLLM exposto, deu um conselho semelhante: "Trate os gateways de IA como repositórios de segredos de Tier-0."

A pesquisa também mostra a IA do lado dos defensores. O mesmo tipo de agente de codificação que os atacantes agora usam para executar campanhas inteiras encontrou esses bugs para uma equipe de segurança primeiro. Para qualquer um que esteja executando agentes, a lição de sandboxing se aplica ao encanamento também: dê apenas as permissões que precisa.

O que fazer

Atualize para o LiteLLM 1.84.0 ou posterior, que o The Hacker News diz cobrir todas as falhas em sua tabela, e defina uma chave mestre forte e única. A Wiz também recomenda revisar os guardrails para entradas inesperadas, auditar endpoints de passagem, restringir o acesso à rede externa do contêiner e dar ao gateway funções de nuvem de menor privilégio.

A ressalva

O número de 9,6% vem de uma varredura de fevereiro de 2026 de instâncias visíveis no motor de busca Shodan, antes da maioria dos patches serem enviados, então a exposição de hoje pode ser menor. Uma varredura de acompanhamento em agosto encontrou mais de 85.000 instâncias, mas a Wiz diz que a maioria parece ser honeypots ou implantações de teste.

Originalmente publicado em Ground Truth, onde cada afirmação é verificada contra a fonte primária.