Hackers maken op grote schaal misbruik van kwetsbaarheden in AI-systemen, specifiek in blootgestelde gateways en agenttools, met als doel externe code uit te voeren, inloggegevens te stelen en cryptomining te verrichten. Deze AI-infrastructuur, die fungeert als toegangspunt tot de cloud, is door aanvallers al meer dan negentig dagen doelwit van verfijnde technieken. Onderzoekers van Wiz.io hebben deze aanhoudende activiteit gedetecteerd via honeypots die AI-services nabootsen.

De onderzochte diensten omvatten onder andere LiteLLM, MCP-servers, LangChain, Flowise, Langflow, OpenWebUI en Node-RED. AI-proxies hebben de potentie om sleutels en cloud-permissies te centraliseren. Een zwakke implementatie van deze proxies kan daardoor een directe route bieden naar gevoelige data, betaald modelgebruik en diepere systemen binnen de organisatie. Een specifieke campagne richtte zich op extern toegankelijke Model Context Protocol (MCP)-services, waarmee agents in staat zijn om databases, code repositories, berichtenplatforms en interne API's aan te roepen.

Aanvallers wisten kwetsbaarheden in LiteLLM te exploiteren, waaronder CVE-2026-59822, een authenticatie-omzeiling in de MCP Gateway, en CVE-2026-42271, een kwetsbaarheid voor command injection in test-endpoints. De eerstgenoemde kwetsbaarheid maakte het mogelijk MCP-functies te gebruiken met een minimale bearer token. Bij CVE-2026-42271 werd een valse MCP-serverconfiguratie ingediend, wat leidde tot het uitvoeren van een Python-downloader en cryptominer via het commando-veld. Deze exploitatieketen, die ook gebruik kon maken van CVE-2026-48710 (een Starlette host-header bypass), is door externe onderzoekers in verband gebracht met de Qilin ransomwaregroep.

Gevaarlijke situaties ontstaan wanneer blootgestelde tools een geconfigureerd commando starten ter validatie van een MCP-verbinding. Een modelgateway, die als tussenpersoon fungeert tussen gebruikers, cloud-accounts, betaalde diensten en interne tools, kan hierdoor reeds een ogenschijnlijk klein configuratieprobleem een ondernemingsbrede impact geven.

Een andere reeks aanvallen maakte gebruik van "blind prompt injection" tegen agentframeworks. Dit stelde aanvallers in staat om een agent, met shelltoegang, een commando te laten uitvoeren zonder directe feedback over de output. Een DNS-lookup werd gebruikt om de uitvoering te bevestigen. Soortgelijke risico's worden ook gezien in prompt injection beveiligingsonderzoek, waarbij onbetrouwbare tekst onterecht wordt aanzien voor vertrouwde instructies. De geobserveerde sessies haalden payloads op van Pastebin en gebruikten Base64-gecodeerde commando's om detectie door logs en filters te omzeilen. Succesvolle compromissen resulteerden in de implementatie van XMRig op Node-RED-systemen. Het toekennen van shelltoegang aan een agent dient derhalve als een ontwerpkeuze met een hoog risicoprofiel te worden beschouwd.

Op LiteLLM-systemen werd het draaiende Python-proces bevraagd om de proxy master key uit het geheugen te herstellen. Configuratiepaden werden gecontroleerd en backend-modellen werden geïnventariseerd alvorens doelen werden geselecteerd voor diefstal van sleutels of misbruik van rekenkracht. Dit gedrag maakt AI-gateways tot waardevolle opslagplaatsen voor inloggegevens. Een blootgestelde proxy kan toegang bieden tot meerdere modelproviders, terwijl cloud-permissies en MCP-services het potentiële impactgebied verder vergroten.

Recente berichtgeving over gekaapte AI-beveiligingstools onderstreept hoe een legitieme agent kan transformeren tot een toegangsweg voor ongeautoriseerde systemen wanneer deze vijandige input verwerkt. Aanvallers maakten daarbij ook gebruik van namen en mappen die naadloos opgaan in bestaande AI-omgevingen. In een geval met Langflow werd de miner geïnstalleerd in een verborgen map genaamd `.claude` en hernoemd naar `unicorn`. Beheerders zouden dit kunnen aanzien voor legitieme ontwikkeltools, net als verborgen commando's die gericht zijn in AI-shows met aanwijzingen verborgen in de content die een agent leest.

De ontdekte campagnes tonen aan dat AI-beveiliging niet los kan worden gezien van de algemene beveiliging van IT-infrastructuur. Beveiligingsteams moeten zich richten op de permissies van agents en proxies, en niet louter op het model of de applicatie-interface. Deze beoordeling moet alle verbonden tools, geheimen, netwerkpaden en goedkeuringsstappen omvatten.

Organisaties wordt geadviseerd om AI-services te inventariseren, eigenaarschap toe te wijzen en strikte authenticatie te eisen alvorens deze bloot te stellen. Daarnaast is het van cruciaal belang om permissies en uitgaande toegang te beperken, MCP-services te behandelen als een geïsoleerde blootstellingszone en software tijdig te patchen. Runtime monitoring is eveneens essentieel. Waarschuwingen voor AI-servers die shells starten, archieven downloaden of onverwachte processen lanceren, kunnen misbruik detecteren. Teams dienen blootgestelde inloggegevens te rouleren, logs te onderzoeken en indicatoren van misbruik te analyseren.