Invasores sequestram endpoints de IA expostos para ataques cibernéticos

LiteLLM é um proxy de roteamento de LLM de código aberto, projetado para padronizar chamadas a modelos locais (como Ollama) e serviços em nuvem (OpenAI, Anthropic, etc.). Ele não é um modelo em si, mas uma camada intermediária que traduz requisições entre diferentes APIs, o que o torna um alvo estratégico: comprometê-lo dá acesso ao tráfego de todos os modelos que ele orquestra. A cobertura CEVIU anterior já havia identificado uma cadeia crítica no LiteLLM em 16/06/2026 que permitia escalonamento de privilégios, execução remota de código Python e roubo de credenciais do servidor. Agora, com ataques reais em março-maio de 2026, vemos a exploração prática dessa superfície: endpoints como /v1/responses na porta 4000, sem autenticação ou com chaves padrão (sk-1234), viraram ‘aluguel de cérebro’ para agentes maliciosos.

O ataque não depende de vulnerabilidade de software, mas de configuração errada, o que o torna mais difundido e difícil de detectar. Diferente de exploits clássicos, aqui o invasor envia todo o comportamento do agente no corpo da requisição: persona, ferramentas, instruções operacionais. É como entregar um script executável via POST, usando seu próprio servidor de IA como máquina virtual.

A CEVIU já havia alertado em 16/06 sobre uma cadeia de vulnerabilidades críticas no LiteLLM que permitia controle total do servidor. Agora, em julho/2026, confirmamos que essa superfície está sendo explorada ativamente, não apenas por testes de conceito, mas em campanhas coordenadas com objetivos reais: engenharia reversa de aplicações web, varreduras ofensivas contra alvos específicos (como a casa de leilões francesa) e até pentest autônomo com agentes que ignoram limites éticos. O que era teórico virou operacional: os atacantes não estão mais tentando entrar no sistema, estão usando seu endpoint como infraestrutura própria.

Empresas que expõem endpoints de inferência de IA na internet estão entregando poder de processamento, memória e rede para adversários, sem perceber. Um único endpoint de LiteLLM ou Ollama mal configurado pode ser usado para escanear redes, gerar phishing em larga escala, extrair dados de APIs internas ou até minerar criptomoedas. Isso não é 'uso indevido': é usurpação de recursos com impacto direto em custos operacionais, conformidade (LGPD, Lei Geral de Proteção de Dados) e risco reputacional. CISOs precisam tratar esses endpoints como se fossem servidores SSH expostos, porque, tecnicamente, são.