Atacantes a la caza de gateways de IA: LiteLLM, RAGFlow y Kestra

Una campaña coordinada trata la propia infraestructura de IA como el botín. En un análisis publicado el 26 de agosto de 2026, Microsoft detalló cómo los atacantes buscan de forma sistemática gateways de IA y herramientas de orquestación expuestos (LiteLLM, RAGFlow, Kestra) para robar lo único que se concentra allí: todas las claves de API de proveedores de modelos que tiene una organización. Después convierten el equipo comprometido en un minero de criptomonedas.

Lo que observó Microsoft

Según el análisis de Microsoft, la campaña atacó tres tipos de infraestructura de IA con un objetivo constante: robar credenciales, persistir y sacar dinero del cómputo:

• LiteLLM (gateway de IA): acceso inicial a través de la superficie expuesta del gateway, encadenando CVE-2026-42271 (un fallo de ejecución de comandos en MCP) con CVE-2026-48710 (una elusión mediante la cabecera Host en Starlette).
• RAGFlow (RAG y procesamiento de documentos): reconocimiento al estilo SSRF, después ejecución de código y después un hook de Python inyectado en el flujo de configuración de credenciales, de modo que intercepta en silencio el tipo de proveedor, el nombre del modelo, el endpoint y la clave de API cada vez que un administrador configura una integración con un LLM (fallos de inyección de plantillas CVE-2026-45312 y CVE-2026-28797).
• Kestra (orquestación de workflows): CVE-2026-49869, una elusión de autenticación crítica que permite ejecutar workflows sin autenticarse.

Lo que se llevaron es lo importante: claves de API de proveedores de modelos, claves maestras de LiteLLM, registros de claves virtuales, cadenas de conexión de bases de datos y credenciales de la nube; claves de OpenAI, Azure, Anthropic y Gemini sacadas de las variables de entorno de los contenedores. Después llegaron las cargas: mineros XMRig / RandomX con ajuste de la CPU, authorized_keys de SSH para la persistencia y binarios ELF disfrazados de demonios del sistema.

Por qué el objetivo es el gateway

Un gateway de IA existe para poner a todos los proveedores de modelos detrás de una sola puerta. Ese es su valor, y justo por eso merece la pena entrar en él. Si lo comprometes, obtienes inferencia gratis a cuenta de otro, acceso a cualquier dato al que lleguen esos modelos y un punto de salto hacia la cuenta de nube a la que pertenecen las claves. Es la misma lección que la del CVE de LiteLLM en el catálogo KEV de CISA y la de la ola de robo de claves de Langflow, ahora confirmada como una campaña deliberada y multiplataforma: la infraestructura de IA es infraestructura de robo de credenciales.

Qué hacer ahora

• Saca los gateways de IA de internet. LiteLLM, RAGFlow, Kestra, Flowise y similares deben estar detrás de autenticación y controles de red, nunca expuestos. Aplica de inmediato los parches de los CVE mencionados.
• Si estuviste expuesto, da las claves por comprometidas. Rota todas las claves de proveedores de modelos, las claves maestras y virtuales y cualquier credencial de nube que estuviera en esos entornos, y revisa la facturación de los proveedores y de la nube en busca de gasto de minería, que aparece antes que en los logs.
• Localiza tus puntos de control de IA expuestos. La mayoría de los equipos no sabe enumerarlos. El AI Footprint Scanner mapea lo que es accesible y MCP Guard revisa tus endpoints MCP.
• Inventaría la infraestructura de IA de tu stack. El AI Dependency Scanner señala LiteLLM, Langflow y otros frameworks en tus manifiestos para que confirmes que cada uno está parcheado, y la lista de OWASP para LLM recoge los modos de fallo.

Fuentes

• Microsoft Security — When AI infrastructure becomes the target (26 de agosto de 2026)
• The Hacker News — CISA adds seven exploited flaws (LiteLLM, Kestra)