L’ANALISI
PoeLLM: come proteggere LiteLLM, Ollama e i servizi AI esposti
Analisi operativa di PoeLLM: servizi AI esposti, catena LiteLLM, persistenza, indicatori e checklist per verificare e ridurre il rischio.
In breve: PoeLLM dimostra che un gateway LLM o un runtime locale pubblicato su Internet va trattato come infrastruttura critica: aggiornamento, autenticazione, segmentazione e telemetria vengono prima del modello.
Che cosa ha osservato Black Lotus Labs
La campagna, attiva almeno da aprile 2026, ha colpito più di 3.400 server. Installa XMRig e Iron, trasforma le vittime in scanner ed exploit server e usa parole in una poesia su GitHub per ricostruire dinamicamente il proprio C2.
Perché riguarda l’infrastruttura AI
Tra i sistemi osservati compaiono LiteLLM e Ollama, oltre a Gotenberg, Gitea e possibili dispositivi Ivanti Sentry. I servizi AI sono obiettivi appetibili perché concentrano dati, credenziali e capacità di calcolo.
La catena confermata su LiteLLM
CVE-2026-42271 consente a un utente autenticato di raggiungere l’esecuzione di comandi tramite endpoint MCP stdio di test nelle versioni vulnerabili. CISA l’ha inserita nel catalogo KEV per evidenza di sfruttamento attivo.
Cosa verificare, senza confondere esposizione e incidente
Un banner pubblico o una porta aperta non dimostrano che PoeLLM sia presente. Servono versione, log, processi, persistenza, connessioni e indicatori. Se emergono segnali, la sola patch non basta: occorre isolare, acquisire evidenze, ruotare segreti e ricostruire da una base fidata.
Condizioni e limitazioni
I numeri e l’attribuzione derivano dalla telemetria del ricercatore, non da un censimento completo. Ollama è indicato tra i servizi osservati, ma la catena tecnica pubblicata associa l’esecuzione remota confermata soprattutto a LiteLLM CVE-2026-42271; un servizio raggiungibile non prova da solo una compromissione.
Checklist operativa
- Inventariare LiteLLM, Ollama e servizi collegati raggiungibili da reti non fidate.
- Rimuovere l’esposizione diretta; usare autenticazione forte, proxy e allowlist.
- Aggiornare LiteLLM e verificare la versione rispetto a CVE-2026-42271.
- Cercare miner, processi anomali, persistenze, scansioni in uscita e connessioni agli IOC pubblicati.
- Isolare gli host sospetti prima di applicare correzioni distruttive.
- Ruotare chiavi API, token, credenziali e segreti presenti sull’host.
- Ricostruire i sistemi compromessi da immagini fidate e ripristinare solo dati verificati.
- Monitorare CPU/GPU, egress, creazione di processi e chiamate amministrative ai gateway LLM.