Šta se desilo?

Istraživači iz Palo Alto Networks (Unit42) otkrili su ozbiljnu ranjivost u Google Cloud Vertex AI Python SDK koja je omogućavala napadačima da preuzmu kontrolu nad ML modelima tokom učitavanja i izvrše zlonamerni kod. Problemi su postojali u verzijama 1.139.0 i 1.140.0 SDK-a i rezultat su kombinacije predvidive nomenklature Cloud Storage baketā i nedostatka validacije vlasništva.

Koga pogađa?

Napad je bio ozbiljna pretnja za sve organizacije koje koriste Google Cloud Vertex AI i prenosile ML modele bez eksplicitnog definisanja staging baketā. Zahvaćeni su bili razvijači, data science timovi i enterprise okruženja koja oslanjaju na managed AI platforme za razvoj i implementaciju mašinskog učenja.

Kako se zaštititi?

  • Ažurirajte Google Cloud AI Platform na verziju 1.148.0 ili noviju
  • Eksplicitno definirajte staging bakeт umesto da se oslanjate na automatski generirane bakete
  • Pratite integritet modela tokom procesa učitavanja i implementacije
  • Primenite stroga kontrola pristupa Cloud Storage resursima
  • Redovno proverite dozvole i vlasništvo nad baketima u vašem okruženju

Tehnički detalji

Ranjivost je locirana u gcs_utils.py modulu SDK-a gde se imenovanje baketā vrši na predvidljiv način bez validacije vlasništva. Napadač je mogao prvo kreiritati baket sa očekivanim imenom u svom projektu, a zatim kada bi žrtva učitala model, SDK bi slao artefakte u napadačev bakет. Kroz tehniku zvanu "bucket squatting" i "Pickle in the Middle" napad, napadač je zamenjivao datoteke modela tokom uskog vremenskog prozora od 2.5 sekundi. Eksploatacija je omogućavala punu RCE u Vertex AI okruženju, pristup service account tokenima, enumeraciju drugih modela i pristup BigQuery setovima podataka. Google je izdao prve zakrpe sa randomizovanim imenima baketā korišćenjem UUID-a, a затim drugu zakrpu sa eksplicitnom validacijom vlasništva. Kompletno rešenje je dostupno od verzije 1.148.0 (15. april 2026).

Preporuka Sajber Radara

Ova ranjivost predstavlja kritičan primer rizika u AI/ML lancima snabdevanja. Organizacije trebaju hitno da ažuriraju svoje Vertex AI SDK verzije i primene dodatne kontrole oko upravljanja skladištem i validacije modela kako bi sprečile slične napade. Nije dovoljno oslanjati se samo na Google-ove zakrpe - potrebne su i dodatne kontrole na nivou aplikacije.