SAPwned: vulnerabilidad de IA en SAP expone entornos en la nube y datos personales de clientes
(wiz.io)¿Existe un problema de aislamiento en la IA?
Resumen
El equipo de investigación de Wiz estudió problemas de aislamiento entre tenants en varios proveedores de servicios de IA. A medida que la infraestructura de IA se vuelve un componente esencial en muchos entornos empresariales, el impacto de estos ataques sigue creciendo. Los resultados de la investigación se presentarán en la conferencia Black Hat.
Investigación sobre SAP AI Core
SAP AI Core está integrado con HANA y otros servicios en la nube, y puede acceder a datos internos de los clientes. El equipo de investigación quiso verificar si un actor malicioso podía acceder a estos secretos de los clientes. Como resultado, lograron ejecutar un modelo de IA malicioso y un procedimiento de entrenamiento para acceder a archivos secretos de clientes y a sus entornos en la nube.
Principales vulnerabilidades
- Se podían leer y modificar imágenes Docker en el registro interno de contenedores de SAP
- Se podían leer y modificar imágenes Docker de SAP en Google Container Registry
- Se podían leer y modificar artefactos en el servidor interno de Artifactory de SAP
- Se podían obtener privilegios de administrador del clúster en el clúster de Kubernetes de SAP AI Core
- Se podía acceder a credenciales de nube de clientes y a artefactos privados de IA
Detalles de las vulnerabilidades
Evasión de restricciones de red
Mediante la configuración shareProcessNamespace y runAsUser en un Pod, se podía acceder a la configuración del proxy de Istio. Esto permitía evadir las restricciones de tráfico de la red interna.
Exposición de tokens AWS en el servidor Loki
A través del endpoint /config del servidor Grafana Loki, se podía acceder a secretos de AWS. Esto permitía acceder a logs del servicio AI Core y de los Pods de clientes.
Recurso compartido EFS sin autenticación
Una instancia de AWS Elastic File System (EFS) estaba configurada como pública por defecto, por lo que era posible ver archivos sin credenciales. Esto permitía acceder a grandes volúmenes de datos de IA.
Servidor Helm sin autenticación
A través de la interfaz gRPC del servidor Helm, se podía acceder a secretos del Docker Registry y del servidor Artifactory de SAP. Esto permitía leer y modificar imágenes internas y builds.
Exposición del clúster K8s
Mediante el comando install del servidor Helm, era posible obtener privilegios de administrador del clúster. Esto permitía acceder a Pods de otros clientes y robar datos sensibles.
Conclusión
La investigación sobre SAP AI Core muestra la importancia de la defensa en profundidad. Considerar que la red interna es confiable puede ser riesgoso. Se necesitan salvaguardas adecuadas para resolver los desafíos únicos que surgen durante el proceso de I+D en IA.
Resumen de GN⁺
- El problema de aislamiento entre tenants en la infraestructura de IA es un tema de seguridad importante.
- Las vulnerabilidades de SAP AI Core permiten que actores maliciosos accedan a datos secretos de clientes.
- Los hallazgos subrayan la necesidad de mejorar los estándares de aislamiento y sandboxing al ejecutar modelos de IA.
- Otros proyectos con funcionalidades similares incluyen Google AI Platform y Microsoft Azure Machine Learning.
1 comentarios
Opiniones de Hacker News