1 पॉइंट द्वारा GN⁺ 2024-07-19 | 1 टिप्पणियां | WhatsApp पर शेयर करें

क्या AI में isolation की समस्या है?

सारांश

Wiz की research team ने कई AI service providers में tenant isolation की समस्याओं का अध्ययन किया। जैसे-जैसे AI infrastructure कई business environments में एक आवश्यक घटक बनता जा रहा है, ऐसे हमलों का प्रभाव भी लगातार बढ़ रहा है। शोध के निष्कर्ष Black Hat conference में प्रस्तुत किए जाएंगे।

SAP AI Core पर शोध

SAP AI Core, HANA और अन्य cloud services के साथ integrate होकर ग्राहकों के internal data तक पहुंच सकता है। research team यह जांचना चाहती थी कि क्या कोई malicious actor इन customer secrets तक पहुंच सकता है। शोध के परिणामस्वरूप, malicious AI model और training procedure चलाकर ग्राहकों की secret files और cloud environment तक पहुंचना संभव था।

प्रमुख कमजोरियां

  • SAP की internal container registry में Docker images को पढ़ना और संशोधित करना संभव था
  • Google Container Registry में SAP की Docker images को पढ़ना और संशोधित करना संभव था
  • SAP के internal Artifactory server में artifacts को पढ़ना और संशोधित करना संभव था
  • SAP AI Core के Kubernetes cluster में cluster administrator privileges हासिल करना संभव था
  • ग्राहकों के cloud credentials और private AI artifacts तक पहुंचना संभव था

कमजोरी का विवरण

network restrictions को bypass करना

Pod में shareProcessNamespace और runAsUser settings के जरिए Istio proxy की configuration तक पहुंचना संभव था। इसके माध्यम से internal network के traffic restrictions को bypass किया जा सकता था।

Loki server में AWS token का खुलासा

Grafana Loki server के /config endpoint के जरिए AWS secrets तक पहुंचना संभव था। इसके माध्यम से AI Core service और customer Pod के logs तक पहुंचा जा सकता था।

unauthenticated EFS share

AWS Elastic File System(EFS) instance डिफ़ॉल्ट रूप से public setting पर था, इसलिए बिना credentials के files देखी जा सकती थीं। इसके माध्यम से बड़े पैमाने पर AI data तक पहुंच संभव थी।

unauthenticated Helm server

Helm server के gRPC interface के जरिए SAP की Docker Registry और Artifactory server के secrets तक पहुंचना संभव था। इसके माध्यम से internal images और builds को पढ़ना और संशोधित करना संभव था।

K8s cluster का खुलासा

Helm server के install command के जरिए cluster administrator privileges हासिल किए जा सकते थे। इसके माध्यम से दूसरे ग्राहकों के Pod तक पहुंचकर संवेदनशील data चुराया जा सकता था।

निष्कर्ष

SAP AI Core पर यह शोध defense in depth के महत्व को दिखाता है। internal network को भरोसेमंद मान लेना जोखिमभरा हो सकता है। AI R&D प्रक्रिया में उत्पन्न होने वाली विशिष्ट चुनौतियों से निपटने के लिए उपयुक्त सुरक्षा उपायों की आवश्यकता है।

GN⁺ की संक्षिप्त टिप्पणी

  • AI infrastructure में tenant isolation की समस्या एक महत्वपूर्ण security issue है।
  • SAP AI Core की कमजोरियां malicious actors को ग्राहकों के secret data तक पहुंचने में सक्षम बनाती हैं।
  • शोध के निष्कर्ष AI model execution के दौरान isolation और sandboxing standards को बेहतर बनाने की आवश्यकता पर जोर देते हैं।
  • समान कार्यक्षमता वाले अन्य projects में Google AI Platform और Microsoft Azure Machine Learning शामिल हैं।

1 टिप्पणियां

 
GN⁺ 2024-07-19
Hacker News की राय
  • यह AI प्रोडक्ट की समस्या से ज़्यादा k8s configuration की कमजोरी का मामला है
  • SAP को इस बात की गहन समीक्षा करनी चाहिए कि Wiz का शोध cluster admin permissions हासिल करने से पहले क्यों नहीं रोका गया
    • यह जानने की उत्सुकता है कि क्या SAP को इस गतिविधि के बारे में alert मिला था, और क्या उसने इसकी ठीक से जांच की थी
    • यह भी जानने की उत्सुकता है कि क्या SAP संदिग्ध network activity के लिए उचित alert देने वाले नियमों का पालन कर रहा है, और क्या यह शोध दिखा सकता है कि वह उन नियमों को पूरा नहीं कर पाया
  • यह देखकर झटका लगा कि 2020 से deprecated Tiller instance अब भी चल रहा था
  • एक ही K8s cluster में मज़बूत multi-tenancy guarantees की उम्मीद करना बहुत खराब स्थिति है
    • प्रमुख cloud services ग्राहकों के बीच VM boundaries और अलग K8s clusters का उपयोग करती हैं
    • Microsoft को भी कुछ साल पहले ऐसे feature product में इसी तरह की समस्या हुई थी, जहाँ K8s को मुख्य security boundary माना गया था
  • यह जानने की उत्सुकता है कि क्या किसी ने Wiz का इस्तेमाल किया है
    • यह enterprise software company के रूप में सबसे तेज़ी से बढ़ने वाले उदाहरणों में से एक हो सकता है
    • 1.5 साल में $100M हासिल किया
    • 3 साल के अंत तक $350M हासिल किया
  • मेरा मानना है कि जो कंपनियाँ बिना अनुमति network में घुसपैठ करके vulnerabilities ढूंढती हैं और उनसे blog content बनाती हैं, उन पर मुकदमा चलना चाहिए
    • यह लेख vulnerability disclosure के भेष में एक आक्रामक पोस्ट जैसा लगता है
    • "सहयोग के लिए धन्यवाद" वाला वाक्य थोड़ा ज़बरदस्ती जैसा लगता है
  • खुशी है कि मैंने अपनी कंपनी को product का annual pentest production environment में चलाने के लिए मना लिया
    • यह खास products या systems पर फोकस करता है, लेकिन सब कुछ scope में शामिल होता है
    • पहला test चल रहा है और अभी तक किसी ने शिकायत नहीं की है
  • यह जानने की उत्सुकता है कि क्या इसे इस तरह पढ़ा जाना चाहिए कि ग्राहक के account data उसी ग्राहक के सामने उजागर हो रहे थे
    • अपवाद कुछ logs हैं
  • एक security researcher के रूप में उसे पता होना चाहिए था कि text को pixelate करके redact करना अच्छा विकल्प नहीं है