Badacze bezpieczeństwa z XM Cyber ujawnili, że domyślne konfiguracje Google Vertex AI mogą pozwalać użytkownikom o niskich uprawnieniach na ich podniesienie, co potencjalnie prowadzi do zdalnego wykonania kodu (RCE) i dostępu do wrażliwych zasobów chmurowych.
🔍 Na czym polega problem?
Vertex AI przypisuje instancjom konta Service Agent na potrzeby operacji wewnętrznych. Te zarządzane tożsamości często otrzymują szerokie uprawnienia do projektu domyślnie, które atakujący mogą nadużyć za pomocą ataków typu confused deputy.
Zidentyfikowane ścieżki ataku
🟦 Vertex AI Agent Engine
- Atakujący wgrywają złośliwe narzędzia (np. fałszywy przelicznik walut z reverse shellem)
- Kod wykonuje się w silniku rozumowania (reasoning engine)
- Dostęp do metadanych ujawnia tokeny Service Agent
- Skutkuje to dostępem do danych LLM, czatów, dzienników i Cloud Storage
🟦 Ray on Vertex AI
- Użytkownicy z uprawnieniami na poziomie Viewer mogą uzyskać dostęp do interaktywnej powłoki węzła głównego (Head Node Interactive Shell)
- Daje to dostęp do powłoki root w klastrze
- Atakujący wydobywają tokeny Custom Code Service Agent
- Umożliwia to dostęp do odczytu i zapisu w GCS i BigQuery
⚠️ Google uznało te zachowania za „działające zgodnie z założeniami”, przenosząc odpowiedzialność za utwardzenie wdrożeń na klientów.
Zalecane działania ograniczające ryzyko
✔ Usuń zbędne uprawnienia Service Agent
✔ Zastąp domyślne role niestandardowymi rolami IAM
✔ Wyłącz interaktywne powłoki węzła głównego
✔ Weryfikuj i ograniczaj aktualizacje narzędzi agentów AI
✔ Monitoruj dostęp do metadanych za pomocą Security Command Center
✔ Regularnie audytuj silniki rozumowania i trwałe zasoby
📌 Najważniejszy wniosek:
Przy wdrażaniu zarządzanych platform AI ustawienia domyślne ≠ bezpieczne. Konta Service Agent należy traktować jako tożsamości o wysokiej wartości, a nie jako infrastrukturę działającą w tle.
