Seu gateway de IA concentra chaves. Proteja-o como infraestrutura de identidade
O ataque ao LiteLLM e oito correções nos MCP servers oficiais apontam para o mesmo lado: as peças entre agentes e sistemas agora concentram credenciais. Um framework para tratá-las como tier zero.
Ouça este artigo · 5 min
Narração completa do artigo, gerada por IA.
Peça a um time de segurança para listar os sistemas cujo comprometimento entregaria o resto da empresa a um atacante, e ele vai citar os mesmos poucos: o provedor de identidade, o diretório, a autoridade certificadora, as ferramentas de acesso privilegiado. Arquitetos de segurança chamam esses ativos de tier zero; o enterprise access model da Microsoft agora chama essa mesma camada de control plane. Eles recebem administradores separados, estações de administração reforçadas, as janelas de patch mais curtas e a maior atenção.
Nossa visão, e é uma visão, não uma prática estabelecida: em um número crescente de empresas, o gateway de IA e os servidores de ferramentas do agente pertencem a essa lista, e quase ninguém os colocou lá.
O que esses componentes guardam agora
Veja o que o malware do LiteLLM 1.107.0 foi buscar, segundo a análise da Microsoft sobre o comprometimento: credenciais de nuvem de três provedores, segredos de Kubernetes e de CI/CD, chaves SSH e de assinatura, configuração de ferramentas de desenvolvimento e de IA, incluindo integrações MCP, e os registros do banco de dados do próprio gateway, onde ficam as chaves de cada provedor de modelo. Depois veja como o ataque começou, segundo os mantenedores: tokens encontrados nos logs de um gateway interno, para onde as respostas de uma ferramenta de programação os tinham levado.
Um gateway é feito para concentrar. Um único lugar guarda todas as chaves de provedores, roteia todos os prompts, registra todas as respostas e, cada vez mais, aplica limites de gasto e políticas. Argumentamos que isso o torna um ponto de aplicação de políticas. A mesma concentração o transforma em um armazenamento de credenciais com acesso de rede a todos os provedores, e seus logs em um registro de tudo o que passou por ali.
Os servidores de ferramentas concentram em outra direção. Um servidor de sistema de arquivos guarda um caminho para seus arquivos; um servidor de fetch guarda uma rota para sua rede; um servidor de banco de dados guarda uma connection string. Oito correções nos MCP servers oficiais em 25 de outubro tinham tudo a ver com uma coisa: esses servidores indo além do acesso que receberam, incluindo um servidor de teste que expunha variáveis de ambiente a qualquer página web.
Nenhum dos dois componentes parece tier zero, porque cada um foi introduzido como infraestrutura de bastidor para desenvolvedores. É exatamente assim que eles escapam dos controles que sistemas tier zero recebem.
Seis controles emprestados de como a infraestrutura de identidade é protegida
| O controle | O que ele evita | |
|---|---|---|
| Inventário | Todo gateway, MCP server e host de agente, com as credenciais que cada um guarda e o que alcançam | Descobrir o raio de impacto durante o incidente |
| Proveniência de release | Imagens fixadas por digest, dependências com hash travado e checagens de quem disparou o build, não só de qual chave o assinou | Um artefato assinado vindo de um pipeline sequestrado |
| Credenciais de curta duração | Identidade de workload e tokens que expiram em vez de chaves de provedor guardadas em um banco de dados | Um banco de dados roubado virar a chave de todos os provedores |
| Logs como segredos | Redação de tokens, acesso restrito e retenção curta para logs de prompt e resposta | Logs virarem o ponto de partida do atacante |
| Listas de permissão de egress | Gateways, builds e hosts de ferramentas alcançam apenas destinos nomeados | Segredos coletados saindo da rede |
| Simulação de rotação | Um runbook testado que rotaciona todas as chaves que o gateway guarda em poucas horas | Uma recuperação que leva semanas porque ninguém conhece as dependências |
Dois deles merecem destaque.
A proveniência de release precisa incluir quem solicitou. Os artefatos envenenados do LiteLLM foram assinados pelo próprio workflow do projeto. A verificação de assinatura responde “qual chave?”. A pergunta que teria pego isso é “qual repositório, qual branch, qual pessoa disparou este release, e isso era esperado?”. Atestações de proveniência de build podem carregar essa informação; a maioria das políticas de deploy não verifica isso.
A simulação de rotação é o teste honesto. Pergunte ao time que opera seu gateway quanto tempo levaria para rotacionar cada chave de provedor de modelo, cada chave virtual emitida para aplicações, a senha do banco de dados do gateway e sua role na nuvem. Se a resposta for “teríamos que descobrir”, o gateway já é tier zero em consequência e ainda não é na prática.
Onde isso se encaixa para os reguladores
Para bancos e outras empresas supervisionadas, isso não é uma obrigação nova, mas uma obrigação existente que chega a um novo componente. A Resolução CMN 4.893 já exige de instituições supervisionadas pelo Banco Central uma política de segurança cibernética e a gestão de serviços de processamento e nuvem contratados; um gateway de IA que guarda chaves de provedores externos se encaixa nas duas coisas. O objetivo de chamá-lo de tier zero é impedir que ele seja revisado como um aplicativo.
Isso também se conecta à nossa forma de pensar a cadeia de fornecimento de modelos: toda rota até um modelo passa por um componente que guarda as credenciais da rota. O mapa de fornecedores e a lista tier zero deveriam compartilhar entradas.
Perguntas para sua próxima revisão de arquitetura
- Quais componentes guardam credenciais para mais de um provedor de modelo ou mais de um sistema interno?
- Quem pode disparar um release de cada um deles, e alguém notaria um release inesperado?
- Os logs de prompt e resposta passam pelas mesmas regras de tratamento de segredos que as credenciais que podem conter?
- Quais MCP servers escutam em uma porta de rede, e quais rodam como processos locais?
- Quando você rotacionou pela última vez todas as chaves que o gateway guarda, e quanto tempo levou?
Esperamos pelo menos mais um incidente com esse formato antes de a indústria tratá-lo como rotina; isso é uma previsão, não um fato. As empresas que vão absorver isso melhor são as que colocaram sua infraestrutura de IA na lista tier zero antes de precisar.