L’IA a-t-elle un problème d’isolation ?
Résumé
L’équipe de recherche de Wiz a étudié les problèmes d’isolation entre tenants chez plusieurs fournisseurs de services d’IA. À mesure que l’infrastructure IA devient un élément essentiel de nombreux environnements métier, l’impact de ce type d’attaque ne cesse de croître. Les résultats de la recherche doivent être présentés lors de la conférence Black Hat.
Recherche sur SAP AI Core
SAP AI Core est intégré à HANA et à d’autres services cloud, ce qui lui permet d’accéder aux données internes des clients. L’équipe de recherche a voulu vérifier si un acteur malveillant pouvait accéder à ces secrets clients. Résultat : il était possible d’exécuter un modèle d’IA malveillant et une procédure d’entraînement afin d’accéder aux fichiers secrets des clients et à leur environnement cloud.
Principales vulnérabilités
- Il était possible de lire et de modifier des images Docker dans le registre de conteneurs interne de SAP
- Il était possible de lire et de modifier les images Docker de SAP dans Google Container Registry
- Il était possible de lire et de modifier des artefacts sur le serveur Artifactory interne de SAP
- Il était possible d’obtenir des privilèges d’administrateur du cluster sur le cluster Kubernetes de SAP AI Core
- Il était possible d’accéder aux identifiants cloud des clients ainsi qu’à des artefacts IA privés
Détails des vulnérabilités
Contournement des restrictions réseau
Grâce aux paramètres shareProcessNamespace et runAsUser des pods, il était possible d’accéder à la configuration du proxy Istio. Cela permettait de contourner les restrictions de trafic du réseau interne.
Exposition du jeton AWS du serveur Loki
Le endpoint /config du serveur Grafana Loki permettait d’accéder à des secrets AWS. Cela permettait d’accéder aux logs du service AI Core et des pods des clients.
Partage EFS non authentifié
Une instance AWS Elastic File System (EFS) était configurée comme publique par défaut, ce qui permettait de consulter les fichiers sans identifiants. Cela permettait d’accéder à un grand volume de données IA.
Serveur Helm non authentifié
L’interface gRPC du serveur Helm permettait d’accéder aux secrets du Docker Registry et du serveur Artifactory de SAP. Cela permettait de lire et de modifier des images internes et des builds.
Exposition du cluster K8s
La commande install du serveur Helm permettait d’obtenir des privilèges d’administrateur du cluster. Cela permettait d’accéder aux pods d’autres clients et de voler des données sensibles.
Conclusion
La recherche sur SAP AI Core montre l’importance d’une défense en profondeur. Considérer le réseau interne comme fiable peut être dangereux. Des protections adaptées sont nécessaires pour répondre aux défis spécifiques qui apparaissent dans les processus de R&D en IA.
Récapitulatif de GN⁺
- Les problèmes d’isolation entre tenants dans l’infrastructure IA constituent un enjeu de sécurité majeur.
- Les vulnérabilités de SAP AI Core permettent à des acteurs malveillants d’accéder aux données secrètes des clients.
- Les résultats soulignent la nécessité d’améliorer les standards d’isolation et de sandboxing lors de l’exécution de modèles d’IA.
- D’autres projets offrant des fonctionnalités similaires incluent Google AI Platform et Microsoft Azure Machine Learning.
1 commentaires
Avis Hacker News