Falha critica no gateway de IA Bifrost permite execucao remota de comandos sem autenticacao
Uma vulnerabilidade critica (CVE-2026-90898, CVSS 9.8) no Bifrost, gateway open source que roteia requisicoes para mais de 20 provedores de LLM, permite que um atacante nao autenticado execute comandos arbitrarios no servidor com uma unica requisicao HTTP. A causa raiz e que a API de gerenciamento do Bifrost vem com autenticacao desativada por padrao; um POST ao endpoint /api/mcp/client registrando um cliente MCP do tipo stdio faz o gateway iniciar o comando especificado antes mesmo do handshake MCP, como o usuario do processo do gateway. Como o gateway guarda as chaves de API de todos os provedores conectados, o comprometimento tambem expoe essas credenciais. A versao 2.1.0 corrige a falha retornando HTTP 403 para registros nao autenticados.
A falha e um caso classico de 'seguro por padrao' quebrado: a API de gerenciamento do Bifrost, responsavel por configurar integracoes e clientes MCP, nao exige autenticacao a menos que o operador a configure manualmente. Na pratica, isso significa que muitas instalacoes ficam expostas sem que ninguem tenha desligado ativamente nenhuma protecao -- o comportamento padrao de fabrica ja e inseguro.
Tecnicamente, o exploit e trivial de executar: uma unica requisicao POST para o endpoint /api/mcp/client, registrando um cliente MCP do tipo stdio, faz o gateway executar imediatamente o comando especificado, antes mesmo de qualquer handshake do protocolo MCP, rodando com os privilegios do processo do gateway (o usuario appuser na imagem Docker oficial). Nao ha exploracao de memoria nem bypass elaborado envolvido -- e simplesmente uma chamada de API que deveria exigir autenticacao e nao exige.
O impacto vai alem de execucao remota de comandos isolada: como o Bifrost centraliza as chaves de API de mais de 20 provedores de LLM diferentes para poder rotear requisicoes entre eles, comprometer o processo do gateway da ao atacante acesso a todas essas credenciais de uma so vez. Isso transforma um unico gateway mal configurado em ponto de comprometimento para toda a cadeia de fornecedores de IA que a organizacao integra atraves dele.
Gateways de IA como o Bifrost estao se tornando peca central de arquiteturas multi-modelo justamente por centralizarem chaves e roteamento -- e essa centralizacao os torna um alvo de alto valor. A exposicao real depende de como o gateway foi implantado: o bind padrao em localhost limita o risco a acesso local, mas a imagem Docker oficial expõe em 0.0.0.0, ficando publicamente acessivel caso a porta seja publicada sem um proxy reverso autenticado na frente. Quem opera Bifrost deve atualizar para a versao 2.1.0 ou superior e auditar se a API de gerenciamento ja esteve exposta publicamente antes da correcao.