Glossaire
AI Gateway (Passerelle IA)
Le composant central qui route les appels LLM/IA d'une application : un seul endpoint vers plusieurs providers (OpenAI, Anthropic, self-hosted), avec les clés, les quotas, les retries et le suivi d'utilisation. Exemples : GitLab AI Gateway, Kong AI Gateway, LiteLLM. Comme elle concentre **les clés API des providers** et **le contenu des prompts**, une AI Gateway doit être auditée comme un API gateway : least privilege sur la config, audit des logs, rotation des clés.
Ce qu'il faut tester sur une AI Gateway
Qui peut lire la config (clés provider), qui peut lire les logs (prompts d'autres utilisateurs), si l'endpoint exige une authentification, si une clé peut être injectée via la requête, et si des limites de dépense sont posées par utilisateur/équipe. Le cas GitLab 18.6 → 18.8.1 (CVE-2026-8810) montre les deux fuites classiques : une clé lisible par un Reporter, et des logs contenant les prompts des autres utilisateurs.