LONDON (IT BOLTWISE) – Eine Schwachstelle im Google-Vertex-AI-SDK für Python kann es Angreifern ermöglichen, Model-Uploads umzuleiten und beim Laden bösartigen Code auszuführen. Der Angriff „Pickle in the Middle“ nutzt dabei eine vorhersehbare Temporary-Bucket-Logik, um in der Serving-Umgebung Code laufen zu lassen und Tokens abzugreifen. Google hat den Fehler behoben; wer das SDK nutzt, muss auf Version 1.148.0 oder höher aktualisieren und beim Upload explizit einen kontrollierten staging_bucket angeben.
Google warnt vor einem konkreten Sicherheitsproblem im Vertex-AI-SDK für Python: Ein Angreifer, der lediglich ein eigenes Google-Cloud-Projekt besitzt und die Projekt-ID eines Opfers kennt, kann unter bestimmten Bedingungen den Upload eines Machine-Learning-Modells kapern. Das klingt zunächst nach einer klassischen Credential- oder Phishing-Geschichte, ist jedoch anders gelagert. Das Risiko entsteht, weil das SDK ohne explizite Nutzerangabe für den staging-Bucket einen vorhersehbaren Bucket-Namen erzeugt und dessen Existenz prüft, aber nicht die Ownership verifiziert. So reicht „Bucket Squatting“ plus Zeitfenster – Credentials sind nicht nötig.
Technisch liegt der Kern in der Client-seitigen Implementierung der Model.upload()-Logik. Wenn Entwickler beim Hochladen des Modells das staging_bucket-Parameterfeld nicht setzen, bildet das SDK einen Namen wie project-vertex-staging-region aus Projekt-ID und Region. Ein Angreifer kann denselben global eindeutigen Bucket-Namen bereits in seinem eigenen Projekt anlegen. Anschließend lädt das Opfer-Setup die Modellartefakte nicht in einen vom Opfer kontrollierten Speicherbereich, sondern in den Bucket des Angreifers. Sobald Vertex AI später das Modell lädt, kann es durch ein manipulierter Upload ersetzt werden. Bei vielen Python-ML-Workflows stecken in Modellartefakten häufig pickle- oder joblib-Objekte, die beim Deserialisieren Codeausführung triggern können.
Der Vorfall wird in der Sicherheitscommunity als „Pickle in the Middle“ beschrieben: In der Mitte zwischen Upload und späterem Laden tauscht ein Angreifer das Modell gegen ein bösartiges Artefakt aus und wartet darauf, dass die Serving-Infrastruktur das manipulierte Objekt verarbeitet. Laut den Untersuchungen eines Sicherheits-Teams, das den Fehler über Googles Bug-Bounty-Programm gemeldet hat, dauerte das relevante Zeitfenster im Mittel nur wenige Sekunden. In der Praxis hing der Erfolg an einem präzisen Timing: Je schneller der Angreifer nach dem Upload die Datei ersetzt, desto wahrscheinlicher ist, dass der Serving-Prozess das kompromittierte Modell liest, bevor der korrekte Stand wiederhergestellt wurde. Für Unternehmen bedeutet das: Nicht nur die Logik zählt, sondern auch, wie schnell Pipelines und Serving-Komponenten reagieren.
Damit endet das Risiko nicht bei „nur“ Codeausführung. In der Proof-of-Concept-Analyse wurde außerdem beschrieben, dass ein erfolgreicher Payload-Mechanismus aus dem Serving-Kontext ein OAuth-Token aus dem Metadata-Server entnehmen kann. In Tests war dieses Token nicht sauber auf das kompromittierte Deployment begrenzt, sondern konnte laut Bericht weitere Ressourcen im von Google verwalteten Tenant-Kontext ansprechen – darunter andere Modellartefakte, BigQuery-Metadaten und selbst Informationen, die Hinweise auf interne Containerpfade oder Clusterbezeichnungen liefern. Gerade für die betriebliche Sicherheitsarchitektur ist das ein Sprung von „Remote Code Execution“ zu „weitergehender Zugriff“, also ein Szenario, bei dem die Segmentierung innerhalb der Plattformrolle kritisch wird.
Die Bedingungen, unter denen der Angriff funktioniert, wirken auf den ersten Blick restriktiv, sind in der Entwicklungspraxis aber durchaus realistisch. Der entscheidende Hebel ist, dass der default staging bucket im Ziel-Regionenscope beim Opfer noch nicht existiert und der Entwickler das staging_bucket-Argument im SDK nicht setzt. Für neue Vertex-AI-Setups in einer Region ist das durchaus der Normalfall: Man startet, vertraut auf Defaults und delegiert damit mehr Verantwortung an die Clientbibliothek. Das macht die Schwachstelle besonders relevant für Teams, die ihre Model-Upload-Pipelines über Notebooks, CI-Jobs oder automatisierte Training-Workflows betreiben. In solchen Umgebungen bleibt die google-cloud-aiplatform-Version oft länger hinter Sicherheitsupdates zurück als im „klassischen“ Produktionsdienst.
Google hat die Lücke inzwischen geschlossen: Eine erste Maßnahme wurde bereits in einer früheren SDK-Version ausgeliefert, bei der der Bucket-Name um einen zufälligen uuid4 erweitert wurde, um Vorhersagbarkeit zu reduzieren. Die vollständige Absicherung erfolgte laut den gemeldeten Fix-Phasen schließlich in Version 1.148.0 durch eine Ownership-Verifikation, die Model.upload()-Versuche gegen fremd kontrollierte Buckets zuverlässig abblockt. Für Betreiber heißt das: Es reicht nicht, nur die Produktion zu aktualisieren. Wer das SDK in Build- oder Data-Science-Umgebungen verwendet, muss die Version dort prüfen und auf 1.148.0 oder höher bringen. In der Zwischenzeit sollten alle Model-Uploads explizit einen staging_bucket verwenden, den das eigene Team kontrolliert.
Im Marktvergleich zeigt sich, dass ähnliche Risiken bei großen ML-Plattformen oft entlang derselben Kette auftreten: „Storage-Delegation“ durch SDKs, automatisierte Artefakt-Verarbeitung und fehlende Validierung von Nutzerabsichten. Wettbewerber wie AWS mit SageMaker oder Azure Machine Learning setzen ebenfalls auf Storage- und Artifact-Workflows, unterscheiden sich aber in Details der SDK-Defaults und der Ownership-Prüfungen. Security-Analysten betonen deshalb häufig, dass Plattformanbieter nicht nur Server-seitige Kontrollen brauchen, sondern auch Client-seitige Randbedingungen konsequent absichern müssen. Der Bericht verweist zudem darauf, dass es bereits zuvor ähnliche Bucket-squatting-bezogene Probleme innerhalb von Vertex-AI-Komponenten gab, wodurch der Handlungsbedarf für „Default-abhängige“ Workflows noch deutlicher wird.
Aus regulatorischer und datenschutzbezogener Sicht ist der Fall ein Reminder für das Prinzip der Datenminimierung und die Notwendigkeit belastbarer Zugriffskontrollen. Wenn ein kompromittierter Kontext Tokens extrahieren kann und damit potenziell auf weitere Artefakte oder Metadaten zugreift, wird die Compliance-Perspektive sofort konkreter: Logs, Tenant-Informationen und Modellbestandteile können als personenbezugsnah oder zumindest geschäftskritisch eingestuft werden. Besonders relevant ist das für Branchen mit strengen Vorgaben, etwa bei Finanz- oder Gesundheitsdaten. Unternehmen sollten nicht nur das Update einspielen, sondern auch prüfen, ob ihre Modellartefakte und Deserialisierungsprozesse gegen Manipulationen gehärtet sind, zum Beispiel durch sichere Serialisierungspfade, Hash-Validierung und möglichst restriktive Berechtigungen für Serving-Umgebungen.
Der nächste Schritt in der Praxis ist damit klar umrissen: Versionen der Vertex-AI-Python-Bibliothek müssen als Teil des normalen Security-Patch-Prozesses in Notebooks, CI/CD und Training-Pipelines verankert werden. Ergänzend sollte der Upload-Flow so gestaltet werden, dass staging_bucket und Storage-Pfade explizit und kontrolliert sind, statt sich auf Defaults zu verlassen. Kurzfristig sollten Teams zudem Timing- und Integritätsrisiken in ihren Model-Registrierungsprozessen bewerten: Wie schnell wird aus „Upload“ ein „Load“? Welche Artefakte werden deserialisiert, und welche Vertrauensannahmen existieren? Langfristig dürfte die Plattformseite stärker auf robuste Ownership- und Integritätsprüfungen setzen – und die Branche wird damit voraussichtlich intensiver über sichere Modellserialization und Supply-Chain-Absicherung im KI-Umfeld sprechen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Vertex AI SDK: Bucket-Squatting lässt Model-Uploads kapern – Patch auf v1.148.0" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Vertex AI SDK: Bucket-Squatting lässt Model-Uploads kapern – Patch auf v1.148.0" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Vertex AI SDK: Bucket-Squatting lässt Model-Uploads kapern – Patch auf v1.148.0« bei Google Deutschland suchen, bei Bing oder Google News!