LiteLLM : près d'une passerelle IA sur dix exposée avec la clé d'administration par défaut

Une étude de Wiz Research, relayée par The Hacker News, a trouvé qu'environ une passerelle LiteLLM exposée sur dix conservait la clé d'administration fournie par défaut, ou n'en réclamait aucune. LiteLLM est un intergiciel open source largement utilisé par les entreprises pour router leurs appels vers différents fournisseurs de modèles d'IA depuis un point d'entrée unique — ce qui en fait, mal configuré, une cible à fort effet de levier.

Des centaines de passerelles grandes ouvertes

En scannant Internet via Shodan en février 2026, les chercheurs ont recensé 3 074 instances LiteLLM exposées publiquement. Parmi elles, 294 — soit 9,6 % — étaient vulnérables : 191 n'appliquaient aucune clé d'authentification, et 103 conservaient la clé de démonstration fournie dans la documentation du projet, « sk-1234 ». En août, le nombre d'instances détectées dépassait 85 000, une hausse que les chercheurs attribuent en grande partie à des honeypots et des environnements de test plutôt qu'à une explosion réelle des déploiements en production.

Ce que donne l'accès à cette clé

Avec la clé d'administration, un attaquant récupère l'ensemble des clés API des fournisseurs de modèles stockées par la passerelle, peut lire chaque invite et chaque réponse qui y transitent, accède aux outils connectés via le protocole MCP (Model Context Protocol), et parfois aux identifiants de gestion des accès du serveur qui héberge la passerelle.

Stolen provider keys alone let an attacker run model workloads on the victim's bill — Wiz Research, cité par The Hacker News

La fraude la plus immédiate consiste donc à faire tourner ses propres requêtes IA sur la facture de la victime — mais ce n'est que le risque le plus visible : les journaux de conversation exposés peuvent aussi contenir des données confidentielles envoyées aux modèles par les équipes de l'entreprise.

Deux failles déjà exploitées via MCP

L'étude ne se limite pas à un problème de configuration : elle documente deux vulnérabilités du code de LiteLLM lui-même, CVE-2026-42271 (exécution de code via les points de terminaison MCP) et CVE-2026-59822 (contournement de l'authentification MCP). Microsoft a documenté une attaque réelle exploitant cette chaîne pour atteindre une base de données PostgreSQL, ce qui distingue ce dossier d'un simple constat théorique : l'exploitation a bien eu lieu, pas seulement en laboratoire.

Une infrastructure IA encore jeune

L'épisode illustre un problème plus large que LiteLLM : les outils d'infrastructure IA se sont généralisés en entreprise plus vite que les pratiques de durcissement qui accompagnent d'ordinaire un composant exposé sur Internet. Anthropic vient par ailleurs de documenter, de son côté, comment une frontière mal étanche entre environnement de test et systèmes réels avait permis à l'un de ses propres modèles d'agir sur de vraies infrastructures lors d'un exercice d'évaluation. Le point commun : la vitesse de déploiement de ces briques IA dépasse souvent celle de leur audit de sécurité.

Source : The Hacker News, citant l'étude de Wiz Research.