Su gateway de IA guarda claves de modelos y herramientas. Protéjalo como infraestructura de identidad
El compromiso de LiteLLM y ocho correcciones en los servidores MCP oficiales apuntan a lo mismo: lo que hay entre agentes y sistemas concentra credenciales. Un marco para tratarlas como tier zero.
Escuche este artículo · 5 min
Narración completa del artículo, generada con IA.
Pida a un equipo de seguridad que enumere los sistemas cuyo compromiso entregaría al atacante el resto de la empresa, y nombrará los mismos pocos: el proveedor de identidad, el directorio, la autoridad certificadora, las herramientas de acceso privilegiado. Los arquitectos de seguridad llaman a estos activos tier zero; el modelo de acceso empresarial de Microsoft ahora llama a esa misma capa el plano de control. Reciben administradores separados, estaciones de trabajo de administración reforzadas, las ventanas de parcheo más cortas y la mayor atención.
Nuestra opinión, y es una opinión y no una práctica establecida: en un número creciente de empresas, el gateway de IA y los servidores de herramientas del agente pertenecen a esa lista, y casi nadie los ha puesto ahí.
Qué guardan ahora estos componentes
Vea qué buscaba el malware de LiteLLM 1.107.0, según el análisis de Microsoft del compromiso: credenciales de nube de tres proveedores, secretos de Kubernetes y CI/CD, claves SSH y de firma, configuración de herramientas de desarrollo e IA, incluidas integraciones MCP, y los propios registros de base de datos del gateway, donde viven las claves de cada proveedor de modelos. Luego vea cómo empezó el ataque, según los mantenedores: tokens encontrados en los logs de un gateway interno, donde las respuestas de una herramienta de programación los habían transportado.
Un gateway está diseñado para concentrar. Un solo lugar guarda cada clave de proveedor, enruta cada prompt, registra cada respuesta y, cada vez más, aplica políticas de gasto y de otro tipo. Sostuvimos que esto lo convierte en un punto de aplicación de políticas. Esa misma concentración lo convierte en un almacén de credenciales con acceso de red a cada proveedor, y a sus logs en un registro de todo lo que pasó por allí.
Los servidores de herramientas concentran en otra dirección. Un servidor de sistema de archivos guarda una ruta hacia sus archivos; un servidor de fetch guarda una ruta hacia su red; un servidor de base de datos guarda una cadena de conexión. Ocho correcciones en los servidores MCP oficiales del 25 de octubre trataban de una sola cosa: que esos servidores llegaban más lejos que el acceso que se les había concedido, incluido un servidor de pruebas que exponía variables de entorno a cualquier página web.
Ninguno de los dos componentes parece tier zero, porque cada uno se introdujo como infraestructura básica para desarrolladores. Es exactamente así como escapan a los controles que reciben los sistemas tier zero.
Seis controles tomados de cómo se protege la infraestructura de identidad
| El control | Qué evita | |
|---|---|---|
| Inventario | Cada gateway, servidor MCP y host de agente, con las credenciales que guarda cada uno y a qué llega | Descubrir el radio de impacto durante el incidente |
| Procedencia de la versión | Imágenes fijadas por digest, dependencias con hash bloqueado y comprobaciones de quién activó la compilación, no solo qué clave la firmó | Un artefacto firmado desde un pipeline secuestrado |
| Credenciales de corta duración | Identidad de carga de trabajo y tokens que caducan en lugar de claves de proveedor guardadas en una base de datos | Que una base de datos robada se convierta en la clave de cada proveedor |
| Logs como secretos | Redacción de tokens, acceso restringido y retención corta para los logs de prompts y respuestas | Que los logs se conviertan en el punto de partida del atacante |
| Listas de permitidos de salida | Los hosts del gateway, de compilación y de herramientas solo llegan a destinos nombrados | Que los secretos recopilados salgan de la red |
| Simulacro de rotación | Un runbook probado que rote cada clave que guarda el gateway en pocas horas | Una recuperación que tarda semanas porque nadie conoce las dependencias |
Dos de estos merecen énfasis.
La procedencia de la versión tiene que incluir a quien la solicita. Los artefactos envenenados de LiteLLM estaban firmados por el propio workflow del proyecto. La verificación de firma responde a «¿qué clave?». La pregunta que habría detectado esto es «¿qué repositorio, qué rama, qué persona activó esta versión y era lo esperado?». Las atestaciones de procedencia de compilación pueden llevar esa información; la mayoría de las políticas de despliegue no la comprueban.
El simulacro de rotación es la prueba honesta. Pregunte al equipo que opera su gateway cuánto tardaría en rotar cada clave de proveedor de modelos, cada clave virtual emitida a aplicaciones, la contraseña de base de datos del gateway y su rol de nube. Si la respuesta es «tendríamos que averiguarlo», el gateway ya es tier zero en consecuencia y todavía no en la práctica.
Cómo encaja esto con los reguladores
Para bancos y otras compañías supervisadas, esto no es tanto una obligación nueva como una existente que alcanza a un componente nuevo. En la UE, DORA (Reglamento (UE) 2022/2554) exige a los bancos en España gestionar el riesgo de TIC y el riesgo de terceros proveedores de TIC; un gateway de IA que guarda claves de proveedores externos encaja en ambos. La idea de llamarlo tier zero es evitar que se revise como una aplicación.
También conecta con cómo pensamos en la cadena de suministro de modelos: cada ruta a un modelo pasa por un componente que guarda las credenciales de la ruta. El mapa de proveedores y la lista tier zero deberían compartir entradas.
Preguntas para su próxima revisión de arquitectura
- ¿Qué componentes guardan credenciales para más de un proveedor de modelos o para más de un sistema interno?
- ¿Quién puede activar una versión de cada uno de ellos, y alguien notaría una inesperada?
- ¿Los logs de prompts y respuestas pasan por las mismas reglas de manejo de secretos que las credenciales que pueden contener?
- ¿Qué servidores MCP escuchan en un puerto de red y cuáles se ejecutan como procesos locales?
- ¿Cuándo rotó por última vez cada clave que guarda el gateway y cuánto tardó?
Esperamos al menos un incidente más de esta forma antes de que la industria lo trate como rutina; es una previsión, no un hecho. Las empresas que lo absorberán mejor son las que trasladaron su infraestructura de IA a la lista tier zero antes de que hiciera falta.