LiteLLM: una puerta abierta de par en par
Los investigadores de Check Point Research han descubierto dos vulnerabilidades en LiteLLM, una popular pasarela para trabajar con inteligencia artificial. Estas pasarelas conectan aplicaciones con grandes modelos de lenguaje de distintos proveedores, como OpenAI y Anthropic, a través de una interfaz común. Desde ella se pueden dirigir solicitudes, gestionar claves API y permisos de usuario, así como supervisar el uso de los modelos y los gastos.
LiteLLM es compatible con unos 140 proveedores de IA. Según el artículo, el proyecto supera los 90 millones de descargas al mes y cuenta con más de 61.000 estrellas en GitHub. Por eso, los fallos detectados podrían afectar a un gran número de implementaciones.
La primera vulnerabilidad, CVE-2026-35029, está relacionada con el control de acceso. Se le ha asignado una puntuación de 8,7 sobre 10, un nivel de riesgo alto. Un usuario con permisos mínimos podía acceder a funciones administrativas que controlan los ajustes principales de la pasarela. Esto permitía, entre otras cosas, leer archivos del servidor, sustituir las credenciales del administrador y cargar y ejecutar programas maliciosos.
El segundo fallo, CVE-2026-59823, ha recibido una puntuación de 5,3 sobre 10, un nivel de riesgo medio. Se trata de una vulnerabilidad SSRF (falsificación de solicitudes del servidor): un usuario podía obligar a LiteLLM a enviar una solicitud a un servidor externo. Si la dirigía a un servidor controlado por un atacante, podían quedar expuestas las claves de acceso de los proveedores de IA que LiteLLM añade a la solicitud. Con esas claves, los atacantes podrían usar cuentas ajenas y aumentar las facturas de las organizaciones.
Check Point Research explicó que las credenciales almacenadas en la pasarela dan acceso directo a servicios de IA de pago sin una comprobación adicional. Dada la difusión de LiteLLM, el fallo podría haber afectado a numerosos sistemas de IA a la vez.
Las dos vulnerabilidades afectan a las versiones de LiteLLM anteriores a la 1.83.9. Los desarrolladores publicaron la corrección en la versión 1.83.9 y recomiendan a los usuarios instalarla cuanto antes. Conviene revisar no solo las instalaciones independientes de LiteLLM: la pasarela puede estar integrada en plataformas y herramientas internas para crear aplicaciones de IA, aunque la organización no la haya desplegado por su cuenta.
Los especialistas también aconsejan comprobar quién tiene acceso a la pasarela, ya que cualquier cuenta podía servir para explotar los fallos. Si hay indicios de acceso no autorizado, deben sustituirse las claves API de los proveedores de IA guardadas en LiteLLM. Además, hay que comprobar en la práctica que los usuarios con roles limitados no puedan realizar acciones administrativas: la discrepancia entre los permisos configurados y los que se aplicaban realmente fue el origen de uno de los problemas.
Check Point Research recomienda incluir las pasarelas de grandes modelos de lenguaje en las revisiones de seguridad, las pruebas de penetración y los análisis de vulnerabilidades, junto con las aplicaciones web y la infraestructura en la nube. Los investigadores subrayan que estos tipos de fallos se conocen desde hace tiempo y también aparecen en programas empresariales convencionales. Por tanto, la infraestructura de IA debe protegerse con el mismo rigor que cualquier otro sistema empresarial crítico.
PEREC.RU
LiteLLM es una popular pasarela de código abierto que permite a las aplicaciones comunicarse con grandes modelos de lenguaje de distintos proveedores desde una interfaz común. Es compatible con unos 140 proveedores de IA, entre ellos OpenAI y Anthropic. Las organizaciones la usan para dirigir solicitudes, gestionar claves API y permisos de usuario, y controlar el uso de los modelos y los gastos. Según el artículo, el proyecto supera los 90 millones de descargas mensuales y las 61.000 estrellas en GitHub.
Los investigadores de Check Point Research (CPR) han descubierto dos vulnerabilidades en LiteLLM. La primera, CVE-2026-35029, se debe a un fallo en el control de acceso y ha recibido una puntuación de 8,7 sobre 10, correspondiente a un nivel de riesgo alto. Un usuario con permisos mínimos podía acceder a funciones administrativas que controlan la configuración de la pasarela. Esto permitía leer archivos del servidor, cambiar las credenciales del administrador y cargar y ejecutar programas maliciosos.
La segunda vulnerabilidad, CVE-2026-59823, es un SSRF, es decir, una falsificación de solicitudes del servidor. Ha recibido una puntuación de 5,3 sobre 10, que corresponde a un nivel de riesgo medio. Un usuario podía obligar a LiteLLM a enviar una solicitud API a un servidor externo. Si los atacantes controlaban ese servidor, podían obtener las claves de acceso de los proveedores de IA transmitidas con la solicitud. Después podrían usar cuentas de pago ajenas y aumentar los gastos de las organizaciones.
CPR señala que las credenciales guardadas en la pasarela dan acceso directo a servicios de IA de pago sin autenticación adicional. Debido a la amplia difusión de LiteLLM, las vulnerabilidades podrían haber afectado a muchos sistemas a la vez.
Están expuestas las versiones de LiteLLM anteriores a la 1.83.9. La versión 1.83.9 incluye las correcciones para ambos problemas; los desarrolladores y los investigadores recomiendan instalarla cuanto antes. Conviene revisar también las instalaciones integradas: LiteLLM puede formar parte de plataformas externas y herramientas internas para crear aplicaciones de IA, aunque la organización no lo haya desplegado por su cuenta.
Recomendaciones de CPR: comprobar quién tiene acceso a la pasarela, ya que cualquier cuenta podría haber servido para explotar las vulnerabilidades; verificar que los usuarios con roles limitados tengan realmente permisos restringidos; y, si hay indicios de acceso no autorizado, sustituir las claves API de proveedores de IA guardadas en LiteLLM. También deben incluirse las pasarelas de IA en las pruebas de penetración y los análisis de vulnerabilidades, junto con las aplicaciones web y la infraestructura en la nube.
Los investigadores subrayan que se trata de tipos de fallos conocidos desde hace tiempo y presentes también en el software empresarial convencional. Por eso, la infraestructura de IA debe protegerse con el mismo rigor que cualquier otro sistema crítico para el negocio.
