Badacze bezpieczeństwa twierdzą, że silnik Vertex AI Agent Engine firmy Google Cloud ujawnił poważne ryzyko związane z uprawnieniami poprzez domyślny model agenta usługi, umożliwiając wdrożonemu agentowi AI wyodrębnienie danych uwierzytelniających agenta usługi i przełączenie się do wrażliwych zasobów.– poinformowała jednostka 42 ds. sieci w Palo Altoproblem pozwalał złośliwemu lub zagrożonemu agentowi wyjść poza zamierzone zadanie i odczytać dane w projekcie Google Cloud klienta.
Badacze opisali problem jako słabość domyślnych uprawnień, a nie prosty błąd związany z szybką obsługą. W ich teście wdrożony agent zbudowany zZestaw deweloperski dla agentów Googlemoże wysłać zapytanie do usługi metadanych, wyodrębnić poświadczenia agenta usługi Vertex AI Reasoning Engine, a następnie użyć tej tożsamości w celu uzyskania dostępu do danych przechowywanych w projekcie konsumenckim.
W znalezionych przeze mnie materiałach Google nie określił tego jako aktywnego zdarzenia masowego wykorzystania. Zamiast tego informacje publiczne wskazują na ujawniony przez badaczy problem bezpieczeństwa, który skłonił Google do aktualizacji dokumentacji i nakłonienia klientów do bardziej rygorystycznej kontroli tożsamości, takiej jak tożsamość agenta i bardziej przejrzyste zarządzanie kontami usług.
Co odkryli naukowcy
Jednostka 42 podała, że na projekt, Per-Product Service Agent lub P4SA powiązany z wdrożonym agentem Vertex AI miał domyślnie nadmierne uprawnienia. Wyciągnęli referencje dlaservice-<PROJECT-ID>@gcp-sa-aiplatform-re.iam.gserviceaccount.com, którego Google dokumentuje jako agenta usługi Vertex AI Reasoning Engine.
Naukowcy stwierdzili, że dysponując tymi referencjami, mogą przejść dowłasny projekt klienta Google Cloudi uzyskaj dostęp do odczytu do zasobników Google Cloud Storage. Jednostka 42 szczegółowo wymieniła uprawnienia, takie jakstorage.buckets.get,storage.buckets.list,storage.objects.get, Istorage.objects.listw ramach zaobserwowanego przez nich nadmiernego dostępu.
Stwierdzili również, że te same dane uwierzytelniające odsłoniły dostęp do zastrzeżonych repozytoriów Artifact Registry należących do Google, powiązanych z silnikiem Vertex AI Reasoning Engine.Według raportudostęp ten umożliwiał im przeglądanie i pobieranie obrazów wewnętrznych kontenerów powiązanych z usługą, co ich zdaniem mogłoby ujawnić zastrzeżony kod i pomóc w mapowaniu wewnętrznego łańcucha dostaw oprogramowania Google.
Dlaczego sprawa jest istotna
Ma to znaczenie, ponieważ agenci AI działają teraz jako półautonomiczni pracownicy w środowiskach korporacyjnych. Jeśli tożsamość powiązana z tym agentem zapewnia większy dostęp niż powinna, złośliwe narzędzie, agent poddany manipulacji natychmiastowej lub skompromitowane wdrożenie może stać się wewnętrznym punktem zwrotnym. To jest główny scenariusz „podwójnego agenta” opisany przez Jednostkę 42.
Badacze odkryli również, że wyodrębnione dane uwierzytelniające zapewniały dostęp do zarządzanego przez Google projektu najemcy używanego na potrzeby instancji agenta. W tym środowisku odkryli pliki takie jakDockerfile.zip,code.pkl, Irequirements.txt, wraz z odniesieniami do wewnętrznych zasobników Google Cloud Storage. Powiedzieli, że nie mają bezpośredniego dostępu do co najmniej jednego wewnętrznego segmentu z ograniczeniami, ale odniesienia do infrastruktury nadal ujawniają szczegóły operacyjne.
Niektóre z bardziej przerażających scenariuszy przedstawionych w przykładowym artykule wymagają doprecyzowania. Jednostka 42 rzeczywiście omawiała plik pickle w języku Python i zauważyła, że pickle jest historycznie niebezpieczna, gdy niezaufane dane zostaną deserializowane, ale w raporcie nie stwierdzono istnienia backdoora produkcyjnego za pośrednictwem tego pliku w środowisku Google. Ta część powinna pozostać traktowana jako sygnał ryzyka, a nie potwierdzona ścieżka exploita.
Co zmieniło Google
Jednostka 42 twierdzi, że Google współpracowałz badaczami po ujawnieniu informacji i zweryfikowała swoją dokumentację, aby wyjaśnić, w jaki sposób Vertex AI wykorzystuje zasoby, konta i agentów. Strona badania podaje również, że Google zmienił przepływ pracy wdrażania ADK po tym odkryciu i zauważył, że oryginalna próbka kodu wykorzystana w badaniu może już nie działać w bieżącej wersji.
Aktualna dokumentacja Google Vertex AI Agent Engine zachęca teraz klientów do stosowania silniejszej kontroli tożsamości. Przewodnik konfiguracji zaleca używanie tożsamości agenta do zarządzania dostępem, a Google twierdzi, że tożsamość agenta pozwala organizacjom przyznawać lub odmawiać dostępu do własnych interfejsów API i zasobów Google Cloud w odniesieniu do poszczególnych agentów.
Google dokumentuje również, że wdrożeni agenci mogą korzystać z tożsamości agenta lub kont usług, i twierdzi, że te tożsamości określają, do jakich danych i zasobów agent może uzyskać dostęp. Oto praktyczna ścieżka naprawy: przestań polegać na szerokich domyślnych uprawnieniach i przejdź do jawnego projektu tożsamości o najniższych uprawnieniach.
Kluczowe punkty
- Jednostka 42 stwierdziła, że wdrożony agent Vertex AI może wyodrębnić dane uwierzytelniające agenta usługi Vertex AI Reasoning Engine.
- Badacze stwierdzili, że te dane uwierzytelniające umożliwiają dostęp do odczytu danych w zasobnikach Google Cloud Storage klientów.
- Zgłosili także dostęp do zastrzeżonych repozytoriów Artifact Registry należących do Google, powiązanych z obrazami Vertex AI Reasoning Engine.
- Po ujawnieniu informacji firma Google zaktualizowała dokumentację i zmieniła przepływ pracy wdrażania pakietu ADK.
- Google zaleca obecnie ściślejszą kontrolę tożsamości poprzez tożsamość agenta i bezpośrednie zarządzanie kontami usług.
Tabela podsumowująca ryzyko
| Obszar | Co podali badacze | Dlaczego to ma znaczenie |
|---|---|---|
| Tożsamość agenta usługi | Poświadczenia agenta usługi Vertex AI Reasoning Engine można wyodrębnić z wdrożonego środowiska | Skradzione poświadczenia mogą pozwolić agentowi na działanie poza zamierzoną rolą. |
| Dane projektu klienta | Dostęp do uprawnień zasobnika i obiektu Cloud Storage w projekcie konsumenckim | Wrażliwe dane klientów mogą zostać odczytane przez złośliwego agenta. |
| Infrastruktura zarządzana przez Google | Dostęp do zastrzeżonych obrazów rejestru artefaktów i plików wdrożeniowych projektów najemców | Widoczność infrastruktury wewnętrznej może pomóc w głębszych badaniach i dalszych atakach. |
| Projekt tożsamości | Ustawienia domyślne Overbroad zamiast najniższych uprawnień | Agenci AI stają się tożsamościami wewnętrznymi wysokiego ryzyka, jeśli uprawnienia są zbyt szerokie. |
| Łagodzenie | Tożsamość agenta i bardziej rygorystyczna kontrola konta usługi | Ogranicza zasięg wdrożonego agenta w przypadku jego nadużycia. |
Co organizacje powinny teraz zrobić
- Przejrzyj każde wdrożenie Vertex AI Agent Engine i określ, jakiej tożsamości usługi używa.
- Zastąp szeroki dostęp domyślny tożsamością agenta o najniższych uprawnieniach lub kontami usług o wąskim zakresie.
- Kontroluj przechowywanie w chmurze, rejestr artefaktów i powiązane powiązania uprawnień przyznane agentom usługi Vertex AI.
- Traktuj agentów AI jako uprzywilejowane obciążenie, a nie tylko funkcje aplikacji. Jest to bezpośredni wniosek płynący z ustaleń Jednostki 42.
Często zadawane pytania
Jaki był problem z Vertex AI?
Badacze stwierdzili, że wdrożona instancja Vertex AI Agent Engine może ujawnić dane uwierzytelniające agenta usługi, co następnie umożliwi dostęp do wrażliwych zasobów poza zamierzonym zakresem agenta.
Czy umożliwiło to atakującym odczytanie danych klientów?
Jednostka 42 powiedziała „tak” w swoim środowisku testowym. Zgłosili dostęp do odczytu wszystkich danych zasobnika Google Cloud Storage w ramach projektu konsumenckiego po przestawieniu ze skradzioną tożsamością agenta usługi.
Czy badacze uzyskali bezpośredni dostęp do wszystkich wewnętrznych systemów Google?
Nie. Zgłosili dostęp do zastrzeżonych repozytoriów Artifact Registry i plików wdrożeniowych projektów dzierżawców należących do Google, ale stwierdzili również, że nie mają pozwolenia na dostęp do co najmniej jednego zidentyfikowanego przez siebie zasobnika pamięci wewnętrznej z ograniczonym dostępem.
Jaka jest zalecana poprawka?
Obecne wytyczne Google wskazują na silniejszą kontrolę tożsamości, zwłaszcza tożsamości agenta i ograniczonych kont usług, zamiast szerokich domyślnych uprawnień.