# LiteLLM : près d'une passerelle IA sur dix exposée avec la clé d'administration par défaut

> Une étude de Wiz Research a trouvé des centaines de passerelles LiteLLM accessibles sur Internet sans protection réelle

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/litellm-passerelles-exposees-cle-admin-sk-1234
- Auteur : Kelvyn
- Publié le : 10 septembre 2026 (2026-09-10T09:46:30.000Z)
- Rubrique : Cybersécurité
- Sujets : IA, LiteLLM, Sécurité, MCP
- Langue : français

Une étude de [Wiz Research](https://thehackernews.com/2026/09/nearly-1-in-10-exposed-litellm-gateways.html), relayée par The Hacker News, a trouvé qu'environ une passerelle LiteLLM exposée sur dix conservait la clé d'administration fournie par défaut, ou n'en réclamait aucune. LiteLLM est un intergiciel open source largement utilisé par les entreprises pour router leurs appels vers différents fournisseurs de modèles d'IA depuis un point d'entrée unique — ce qui en fait, mal configuré, une cible à fort effet de levier.

## Des centaines de passerelles grandes ouvertes

En scannant Internet via Shodan en février 2026, les chercheurs ont recensé 3 074 instances LiteLLM exposées publiquement. Parmi elles, 294 — soit 9,6 % — étaient vulnérables : 191 n'appliquaient aucune clé d'authentification, et 103 conservaient la clé de démonstration fournie dans la documentation du projet, « sk-1234 ». En août, le nombre d'instances détectées dépassait 85 000, une hausse que les chercheurs attribuent en grande partie à des honeypots et des environnements de test plutôt qu'à une explosion réelle des déploiements en production.

## Ce que donne l'accès à cette clé

Avec la clé d'administration, un attaquant récupère l'ensemble des clés API des fournisseurs de modèles stockées par la passerelle, peut lire chaque invite et chaque réponse qui y transitent, accède aux outils connectés via le protocole MCP (Model Context Protocol), et parfois aux identifiants de gestion des accès du serveur qui héberge la passerelle.

> Stolen provider keys alone let an attacker run model workloads on the victim's bill[ — Wiz Research, cité par The Hacker News](https://thehackernews.com/2026/09/nearly-1-in-10-exposed-litellm-gateways.html)

La fraude la plus immédiate consiste donc à faire tourner ses propres requêtes IA sur la facture de la victime — mais ce n'est que le risque le plus visible : les journaux de conversation exposés peuvent aussi contenir des données confidentielles envoyées aux modèles par les équipes de l'entreprise.

## Deux failles déjà exploitées via MCP

L'étude ne se limite pas à un problème de configuration : elle documente deux vulnérabilités du code de LiteLLM lui-même, CVE-2026-42271 (exécution de code via les points de terminaison MCP) et CVE-2026-59822 (contournement de l'authentification MCP). Microsoft a documenté une attaque réelle exploitant cette chaîne pour atteindre une base de données PostgreSQL, ce qui distingue ce dossier d'un simple constat théorique : l'exploitation a bien eu lieu, pas seulement en laboratoire.

> Recommandations des chercheurs : remplacer immédiatement toute clé « sk-1234 » par une valeur aléatoire longue, mettre à jour vers LiteLLM 1.84.0 ou une version ultérieure, bloquer les points de terminaison /mcp/ et de test au niveau du proxy inverse, restreindre /guardrails/test_custom_code aux administrateurs, et limiter les connexions sortantes du conteneur qui héberge la passerelle.

## Une infrastructure IA encore jeune

L'épisode illustre un problème plus large que LiteLLM : les outils d'infrastructure IA se sont généralisés en entreprise plus vite que les pratiques de durcissement qui accompagnent d'ordinaire un composant exposé sur Internet. Anthropic vient par ailleurs de documenter, de son côté, comment [une frontière mal étanche entre environnement de test et systèmes réels](https://klynlabs.eu/articles/anthropic-quatrieme-incident-ia-piratage-systemes-reels) avait permis à l'un de ses propres modèles d'agir sur de vraies infrastructures lors d'un exercice d'évaluation. Le point commun : la vitesse de déploiement de ces briques IA dépasse souvent celle de leur audit de sécurité.

## À retenir

- Sur 3 074 passerelles LiteLLM exposées scannées par Wiz Research en février 2026, 294 (9,6 %) étaient accessibles sans clé ou avec la clé de démonstration « sk-1234 ».
- L'accès donne les clés API des fournisseurs de modèles, les journaux de prompts, et parfois les identifiants cloud du serveur hôte.
- Deux failles du code, CVE-2026-42271 et CVE-2026-59822, ont déjà été exploitées selon une attaque documentée par Microsoft contre une base PostgreSQL.
- Correctifs recommandés : clé aléatoire, mise à jour vers LiteLLM 1.84.0+, restriction des points de terminaison MCP et de guardrails.

**Source** : [The Hacker News](https://thehackernews.com/2026/09/nearly-1-in-10-exposed-litellm-gateways.html), citant l'étude de Wiz Research.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/litellm-passerelles-exposees-cle-admin-sk-1234