Betroffen ist LiteLLM, ein Proxy-Server bzw. AI-Gateway, über den Anfragen an verschiedene KI-Sprachmodelle im OpenAI-Format weitergeleitet werden. Die Software erlaubt es, sogenannte Guardrails – Schutzregeln für Ein- und Ausgaben – in Form von eigenem Python-Code zu hinterlegen. Beim Testen solcher Regeln wurde der Code in einer abgeschotteten Umgebung ausgeführt und geprüft. Beim tatsächlichen Anlegen oder Ändern einer Guardrail im Produktivbetrieb fehlten diese Sandbox und die Validierung jedoch. Ein Benutzer mit den entsprechenden Verwaltungsrechten konnte dadurch beliebigen Python-Code einreichen, der direkt in der Umgebung des LiteLLM-Proxys ausgeführt wurde. Auf diesem Weg ließen sich Geheimnisse auslesen, auf die der Prozess Zugriff hat – etwa API-Schlüssel für angebundene Modellanbieter oder andere Zugangsdaten. Der Angriff setzt zwar privilegierten Zugang voraus, hebt aber die Trennung zwischen Konfigurationsrecht und Codeausführung auf dem Server vollständig auf.