近期 Palo Alto Networks 的 Unit 42 研究團隊發現了 Google Vertex AI Python SDK 的一個嚴重安全漏洞。這個漏洞允許攻擊者在完全不需要受害者憑證或權限的情況下，劫持機器學習模型的上傳過程，進而讓惡意程式碼在 Google 的運算基礎設施中執行。
這類攻擊被研究員稱為 Pickle in the Middle，其核心邏輯結合了雲端儲存的命名特性與 Python 序列化機制。對於開發者而言，這是一個典型的關於預測性命名與權限驗證缺失的教訓。
理解 Bucket Squatting 儲存桶佔位攻擊
在 Google Cloud Storage 中，Bucket（儲存桶）的名稱在全域範圍內必須是唯一的。這意味著一旦某個名稱被佔用，全球其他任何使用者都無法建立同名的儲存桶。
問題出在 Vertex AI SDK 的預設行為。當開發者在上傳模型時，如果沒有明確指定 staging_bucket（暫存儲存桶），SDK 會根據專案 ID 和區域自動生成一個預測性的名稱，格式通常為 project-vertex-staging-region。
漏洞的關鍵在於，SDK 在上傳前雖然會檢查該儲存桶是否存在，但卻沒有驗證該儲存桶是否由當前使用者或其專案所擁有。攻擊者只需要知道受害者的 Project ID（這在許多公開環境中是透明的），就可以搶先建立一個同名的儲存桶。當受害者執行上傳指令時，SDK 會將模型檔案直接傳送到攻擊者控制的儲存桶中。
從模型劫持到遠端程式碼執行
僅僅劫持檔案上傳還不足以造成毀滅性影響，真正的危險在於 Python ML 模型的儲存方式。許多模型使用 pickle 或 joblib 進行序列化儲存。Pickle 是一種將 Python 物件轉換為位元組流的機制，但它有一個致命的安全特性：在反序列化（載入）檔案時，它可以執行任意的 Python 程式碼。
攻擊流程如下：受害者將模型上傳至被佔位的儲存桶，攻擊者利用 Cloud Function 監控上傳事件，在極短的時間內（約 1.4 秒）將原模型替換為包含惡意 Payload 的 Pickle 檔案。隨後，當 Vertex AI 的後端服務嘗試載入該模型進行部署時，惡意程式碼便會在 Google 的伺服器容器中執行。
權限擴散與潛在影響
一旦惡意程式碼在伺服器端執行，攻擊者可以從容器的 Metadata Server 竊取 OAuth Token（身分驗證令牌）。
在 Unit 42 的測試中發現，這個 Token 的權限範圍過大，不僅能存取該次部署，甚至能跨越到 Google 管理的租戶專案中，獲取其他模型的權證、BigQuery 的元數據、租戶日誌、GKE 叢集名稱以及內部容器映像檔路徑。這將一個簡單的 SDK 漏洞擴大為潛在的跨租戶數據外洩風險。
工程實務建議與防禦措施
對於使用 Vertex AI 的工程師，建議採取以下行動以確保安全：
首先，立即將 google-cloud-aiplatform SDK 更新至 v1.148.0 或更高版本。Google 已在更新中加入了儲存桶所有權驗證，並在名稱中引入隨機的 uuid4 標識符，打破了名稱的可預測性。
其次，不要依賴 SDK 的預設暫存路徑。在呼叫 Model.upload() 時，應明確設定 staging_bucket 參數，將模型上傳至一個由你完全控制且名稱隨機的私有儲存桶中。
最後，審視所有執行環境。由於此漏洞存在於客戶端 SDK，因此不僅是生產環境的伺服器，所有運行相關程式碼的 Jupyter Notebook、CI/CD 流水線以及模型訓練 Pipeline 都必須同步更新版本。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。