Gateway AI dibobol—satu celah dapat membuka semua kunci model

Pada 26 Agustus 2026, Microsoft mengungkap tiga kompromi terpisah terhadap gateway LiteLLM, deployment RAGFlow, dan lingkungan orkestrasi Kestra. Riset Microsoft Security mendokumentasikan pencurian kredensial, persistensi, akses ke basis data atau container, dan penyalahgunaan komputasi untuk cryptomining.

Pada 27 Agustus, liputan CISO Voice merangkum tiga kompromi yang diungkap sehari sebelumnya dan risiko konsentrasi kredensial serta hak eksekusi di infrastruktur AI. Insiden itu tidak dinyatakan sebagai satu kampanye terkoordinasi, tetapi menunjukkan akibat yang serupa ketika aplikasi yang terekspos juga berfungsi sebagai control plane.

Tiga jalur masuk, tiga kelompok aset

LiteLLM, RAGFlow, dan Kestra menjalankan peran berbeda. Karena itu, dampaknya tidak dapat diringkas sebagai pencurian API key semata: setiap komponen membuka kelompok aset sesuai posisi dan hak runtime-nya.

• LiteLLM—gateway: penyerang mengeksekusi perintah dari konteks proses gateway, membaca environment, memperoleh connection string PostgreSQL, lalu mengakses konfigurasi model dan virtual key pada basis data LiteLLM.
• RAGFlow—retrieval: aktivitas bermula dengan pengintaian menyerupai SSRF, disusul eksekusi kode dan modifikasi jalur aplikasi. Hook Python pada alur konfigurasi TenantLLM mencegat kredensial penyedia yang dimasukkan setelah infeksi.
• Kestra—orkestrator: eksekusi workflow menghasilkan shell pada worker. Penyerang kemudian mengakses Docker socket, memeriksa environment container yang terjangkau, mengumpulkan data, dan menjalankan XMRig.

Frasa “semua kunci model” memiliki batas teknis: yang terbuka adalah seluruh kredensial yang disimpan atau dapat dijangkau oleh runtime yang dibobol, bukan otomatis semua kunci milik organisasi. Pada gateway bersama, satu kompromi control plane tetap dapat menjangkau kunci banyak model, tim, atau akun penyedia. “Satu celah” dalam konteks ini berarti satu titik kendali yang berhasil ditembus; jalur awalnya dapat melibatkan rantai beberapa kerentanan, bukan selalu satu CVE tunggal.

LiteLLM menunjukkan bahaya konsentrasi kunci

Pada deployment container tempat gateway berjalan sebagai PID 1, payload membaca /proc/1/environ dan menyaring nilai terkait master key, API key, token, kata sandi, kredensial antarmuka, dan koneksi basis data. Data tersebut kemudian dikirim ke infrastruktur penyerang melalui beberapa metode transfer sebagai jalur cadangan.

Connection string yang diperoleh digunakan untuk mengakses Azure Database for PostgreSQL di belakang gateway. Telemetri merekam pengambilan data dari tabel konfigurasi model dan virtual key; isinya dapat mencakup material kunci penyedia, endpoint upstream, konfigurasi routing, dan kunci virtual yang diterbitkan proxy.

Kompromi itu juga berkembang di tingkat host. Penyerang menempatkan binary ELF dengan nama menyerupai layanan sistem, memeriksa keberadaan miner pesaing, menyiapkan komponen XMRig, menambahkan kunci SSH dan cron, serta memakai atribut immutable untuk menghambat pembersihan. Karena gateway menghubungkan aplikasi dengan banyak penyedia model, dampaknya melampaui satu proses aplikasi biasa.

RAGFlow dapat mencuri kunci setelah rotasi

RAGFlow memperlihatkan risiko yang berbeda: rahasia baru tetap dapat dicuri selama implant masih aktif. Hook tersembunyi membungkus alur konfigurasi LLM tenant dan menangkap jenis penyedia, nama model, material API key, serta metadata endpoint ketika pengguna menambah atau mengubah pengaturan.

Artinya, rotasi kunci sebelum pembersihan dapat memasukkan kredensial pengganti ke aplikasi yang masih disusupi. Urutannya perlu dibalik: isolasi workload, periksa modifikasi pada file dan jalur startup, bangun ulang container dari artefak tepercaya, verifikasi bahwa hook telah hilang, lalu rotasi kredensial.

Bukti pascaakses lebih kuat daripada atribusi kerentanan awal. Telemetri memperlihatkan callback SSRF, eksekusi kode beberapa hari kemudian, perubahan jalur aplikasi, dan intersepsi kredensial. Namun, eksekusi tersebut tidak dipastikan berasal dari satu CVE RAGFlow tertentu; kerentanan yang telah dipublikasikan hanya menjadi konteks teknis yang masuk akal.

Kestra memperluas kompromi ke container

Kestra dirancang untuk menjalankan pekerjaan, sehingga penyalahgunaan kemampuan workflow dapat langsung menghasilkan eksekusi pada worker. Dalam kasus yang diamati, shell yang berasal dari workflow mengakses Docker socket dan membaca array Config.Env dari container yang dapat dijangkau. Cloud key, kata sandi basis data, token API, dan endpoint internal yang ditanam dalam environment ikut berisiko terekspos.

Akses awal dinilai dengan keyakinan tinggi kemungkinan melibatkan CVE-2026-49869, bypass autentikasi yang memungkinkan penyerang tanpa kredensial membuat dan mengeksekusi workflow pada versi rentan. Kata “kemungkinan” tetap penting: telemetri memastikan shell dari workflow, enumerasi container, reverse shell, pengumpulan data, dan deployment miner, sedangkan pemetaan CVE adalah penilaian atas jalur masuk.

Prioritas mitigasi mengikuti peran setiap control plane. Pada LiteLLM, tim perlu menutup permukaan manajemen dari internet, memburu proses turunan yang tidak lazim, lalu merotasi provider key, master key, virtual key, kredensial antarmuka, dan connection string yang dapat dibaca runtime. Pada RAGFlow, pemulihan image dan integritas aplikasi harus mendahului rotasi. Pada Kestra, worker perlu diisolasi, workflow diaudit, dan akses Docker socket dibatasi atau dihapus.

Publikasi 26 Agustus memastikan adanya tiga kompromi dan merinci aktivitas setelah akses diperoleh, tetapi tidak menyebut korban, jumlah deployment terdampak, atau satu pelaku yang menghubungkan ketiganya. Kepastian jalur awal juga tidak seragam: tinggi untuk permukaan LiteLLM dan Kestra yang dikaitkan dengan konteks CVE, tetapi rendah untuk CVE spesifik pada RAGFlow. Batas itu membuat insiden ini paling tepat dibaca sebagai tiga kasus nyata yang memperlihatkan risiko bersama pada control plane AI.

Baca juga:

• Hugging Face bukan sekadar gudang model: tiga bagiannya sering tertukar
• Prompt injection pada agen AI: satu dokumen dapat membajak tindakan
• Agen AI dapat memakai 1.000 kali lebih banyak token—biaya tinggi belum tentu akurat