Apa yang terjadi
Microsoft menerbitkan laporan threat-intelligence pada 26 Agustus 2026 mendeskripsikan tiga intrusi terpisah yang diamati ke dalam infrastruktur AI: gateway proxy LiteLLM, deployment RAGFlow, dan lingkungan workflow Kestra. Dalam setiap kasus, penyerang memperlakukan komponen control-plane AI sebagai target bernilai tinggi untuk pencurian kredensial, persistence, dan monetisasi compute (cryptomining) daripada menargetkan model itu sendiri.
Mengapa penting
Ini adalah kampanye nyata yang sedang berjalan (bukan PoC teoritis) terhadap lapisan middleware yang terkonsentrasi kredensial dari stack AI — gateway, platform RAG, dan orchestrator — yang sebagian besar program keamanan belum memperlakukan dengan ketat yang sama seperti infrastruktur enterprise inti, meskipun komponen-komponen ini memegang kunci model-provider dan akses database/cloud downstream.
Vektor serangan
LiteLLM: command-execution yang terautentikasi di endpoint tes MCP stdio (CVE-2026-42271) dikombinasikan dengan bypass validasi host-header Starlette (CVE-2026-48710) untuk mencapai RCE tanpa autentikasi pada gateway yang terbuka; penyerang kemudian membaca /proc/1/environ untuk rahasia dan mengueri database PostgreSQL pendukung. RAGFlow: recon gaya SSRF diikuti dengan eksekusi kode dan persistence hook di alur konfigurasi kredensial TenantLLM untuk mencegat kunci provider yang baru dikonfigurasi. Kestra: eksploitasi permukaan orchestration yang terbuka (CVE-2026-49869) memungkinkan pembuatan/eksekusi workflow tanpa autentikasi, eksekusi shell, dan deployment XMRig.
Sistem yang terdampak
Gateway LiteLLM (versi 1.74.2–1.83.6, diperbaiki 1.83.7) dikombinasikan dengan Starlette <1.0.1 (CVE-2026-48710); RAGFlow (multiple execution paths, tidak dikaitkan dengan CVE tunggal); Kestra (CVE-2026-49869)
Mitigasi
Patch LiteLLM ke >=1.83.7 dan verifikasi versi Starlette yang diimplementasikan adalah >=1.0.1; patch Kestra sesuai dengan advisory vendor; inventarisasi dan batasi akses administratif ke permukaan manajemen gateway AI/orchestration/RAG; rotasikan semua kunci provider, kunci master, kunci virtual, dan kredensial DB jika kompromi dicurigai; pantau eksekusi shell yang berasal dari gateway dan akses rahasia.