Μια σοβαρή ευπάθεια στο vLLM 0.10.2 και νεότερες εκδόσεις έχει σημάνει συναγερμό στη βιομηχανία τεχνητής νοημοσύνης, καθώς επιτρέπει σε επιτιθέμενους να εκτελέσουν κώδικα απομακρυσμένα απλώς στέλνοντας κακόβουλα τροποποιημένα prompt embeddings μέσω του Completions API. Το πρόβλημα εντοπίζεται στο tensor deserialization process — μια διαδικασία που, όπως αποδεικνύεται, μπορεί να μετατραπεί σε επικίνδυνη «πόρτα» για κυβερνοεπιθέσεις.
Πού βρίσκεται το κενό ασφαλείας
Το ζήτημα εστιάζεται στο entrypoints/renderer.py, στο line 148, όπου γίνεται φόρτωση serialized tensors χρησιμοποιώντας το torch.load(). Η διαδικασία δεν συνοδεύεται από τους απαραίτητους ελέγχους εγκυρότητας, με αποτέλεσμα να επιτρέπει την εισαγωγή αλλοιωμένων δεδομένων που μπορούν να παρακάμψουν ζωτικούς ελέγχους.
Δείτε επίσης: ShadowPad malware: Διανομή μέσω ευπάθειας WSUS
Το πρόβλημα επιδεινώθηκε από μια αλλαγή που εισήχθη στη βιβλιοθήκη PyTorch 2.8.0, όπου απενεργοποιήθηκαν ορισμένοι έλεγχοι ακεραιότητας των tensors. Η αλλαγή αυτή άνοιξε έναν απροσδόκητο «διάδρομο» σε κακόβουλους χρήστες, επιτρέποντάς τους να δημιουργήσουν payloads που παραβιάζουν εσωτερικά όρια μνήμης.
Πώς μπορεί να αξιοποιηθεί η ευπάθεια
Με ένα τροποποιημένο embedding, ένας εισβολέας μπορεί να προκαλέσει out-of-bounds memory write κατά το to_dense() conversion. Αυτό οδηγεί σε memory corruption, το οποίο είτε θα «ρίξει» τον διακομιστή vLLM είτε —ακόμα χειρότερα— θα επιτρέψει την εκτέλεση αυθαίρετου κώδικα μέσα στη διεργασία του συστήματος.
Το επικίνδυνο στοιχείο της υπόθεσης είναι ότι:
- Δεν απαιτούνται ειδικά προνόμια για την εκμετάλλευση.
- Ο επιτιθέμενος μπορεί να είναι πιστοποιημένος ή μη πιστοποιημένος χρήστης, ανάλογα με την πολιτική πρόσβασης του API.
- Οποιαδήποτε εγκατάσταση του vLLM που επεξεργάζεται μη αξιόπιστα embeddings βρίσκεται σε κίνδυνο.
Οι οργανισμοί που τρέχουν vLLM σε production περιβάλλοντα, cloud υποδομές ή multi-tenant πλατφόρμες πρέπει να θεωρήσουν αυτό το κενό άμεση απειλή, καθώς μια επιτυχής εκμετάλλευση μπορεί να οδηγήσει σε πλήρη κατάρρευση της υποδομής ή σε αλυσιδωτές παραβιάσεις γειτονικών συστημάτων.
Δείτε επίσης: Ο μεγαλύτερος κίνδυνος για τους CISOs; Η παραίτηση των επικεφαλής των τμημάτων
Αντιμετώπιση: Η ενημέρωση και τα προσωρινά μέτρα
Η ομάδα ανάπτυξης του vLLM αντιμετώπισε το πρόβλημα στο pull request #27204, το οποίο διορθώνει τον μηχανισμό deserialization και επαναφέρει τους ελέγχους ασφαλείας. Συνιστάται άμεση αναβάθμιση σε όσους χρησιμοποιούν εκδόσεις 0.10.2 και μετά.
Ωστόσο, μέχρι να ολοκληρωθεί η αναβάθμιση σε όλα τα περιβάλλοντα, υπάρχουν ορισμένες προσωρινές πρακτικές μετριασμού κινδύνου:
- Περιορισμός πρόσβασης στο API μόνο σε αξιόπιστους και εσωτερικούς χρήστες.
- Υποχρεωτική επικύρωση εισόδου πριν από την αποστολή των embeddings στο vLLM.
- Αποφυγή χρήσης μη αξιόπιστων μοντέλων που μπορεί να επιστρέφουν επικίνδυνα δεδομένα.
- Ενεργοποίηση επιπλέον επιπέδων παρακολούθησης, ώστε να εντοπίζονται ύποπτα patterns σε εισερχόμενα tensors.
Το εύρημα της AXION και η σημασία της υπεύθυνης αποκάλυψης
Η ευπάθεια ανακαλύφθηκε και αναφέρθηκε από την AXION Security Research Team, επιτρέποντας στους υπεύθυνους του vLLM να ετοιμάσουν διορθώσεις. Σε έναν χώρο που εξελίσσεται τόσο γρήγορα όσο το Generative AI, ο σωστός χειρισμός ευπαθειών δεν είναι απλώς χρήσιμος — είναι κρίσιμος για την προστασία του οικοσυστήματος.
Καθώς όλο και περισσότερες εταιρείες βασίζουν την υποδομή τους σε μεγάλα μοντέλα γλώσσας και inference servers όπως το vLLM, κάθε τέτοιο κενό μπορεί να μετατραπεί σε καταστροφικό γεγονός. Η συγκεκριμένη περίπτωση, μάλιστα, υπογραμμίζει ότι ακόμη και φαινομενικά «αθώες» λειτουργίες —όπως η φόρτωση ενός tensor— μπορούν να αποτελέσουν σοβαρή απειλή όταν συνδυαστούν με ελλιπές validation.
Δείτε επίσης: Οι Κινέζοι hackers APT31 στοχεύουν IT εταιρείες της Ρωσίας
Τι σημαίνει αυτό για το μέλλον της ασφάλειας στα AI συστήματα
Το περιστατικό αποτελεί χαρακτηριστικό παράδειγμα του πόσο περίπλοκη έχει γίνει η ασφάλεια στην εποχή της τεχνητής νοημοσύνης. Τα AI συστήματα πλέον δεν απειλούνται μόνο από παραδοσιακές επιθέσεις, αλλά και από κακόβουλα δεδομένα που κατασκευάζονται με στόχο να εκμεταλλευτούν εσωτερικές λειτουργίες χαμηλού επιπέδου.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η υπόθεση του vLLM δείχνει ότι:
- Οι έλεγχοι επικύρωσης πρέπει να θεωρούνται απαραίτητο στάδιο σε κάθε pipeline AI.
- Οι βιβλιοθήκες deep learning πρέπει να ενισχύσουν τις προεπιλεγμένες ρυθμίσεις ασφαλείας τους.
- Η κοινότητα οφείλει να παρακολουθεί πιο στενά τις αλλαγές που επιφέρουν ενημερώσεις σε frameworks όπως το PyTorch.
Σε έναν κόσμο όπου τα AI APIs εκτίθενται μαζικά σε εξωτερικούς χρήστες, μια αδυναμία στη διαχείριση εισόδου μπορεί να αποδειχθεί εξίσου επικίνδυνη με μια κλασική ευπάθεια σε server.
Η διορθωμένη έκδοση του vLLM είναι πλέον διαθέσιμη, αλλά η υπόθεση αυτή θα παραμείνει για καιρό σημείο αναφοράς στο πώς μια φαινομενικά μικρή αλλαγή μπορεί να δημιουργήσει ένα μεγάλο ρήγμα στην ασφάλεια AI συστημάτων.
