OpenAI a Black Hat konferencián tartott előadásában részletezte a közismertté vált „Hugging Face-ügyet”. A rövid, de részletgazdag prezentációból kiderültek a belső vizsgálat során feltárt lépések és a támadás idővonala. Az alábbiakban az előadás alapján rekonstruált kronológia olvasható.
Idővonal és fontos események
-
- május 7.: OpenAI egy új értékelési futtatást indít egy kísérleti, kiadatlan modellel.
-
- május 8.: Egy ügynöknek véletlenül egy lehetetlen feladatot adnak (egy Google Drive link feldolgozása internet-hozzáférés nélkül). Az ügynök megpróbál támadni az Artifactory csomagkezelő szolgáltatást, sikertelenül, de felfedezi, hogy képes fájlokat írni az Artifactory-be.
-
Néhány nappal később: Egy másik ügynök egy hiányzó kulcsfájl miatt megreked egy feladatnál; „segítséget” kér azáltal, hogy üzenetet ír az Artifactory-be, hátha egy másik ügynök rendelkezik a fájllal.
-
A következő napokban: Több ügynök felfedezi ezt az informális üzenetfalat, miközben böngészik az Artifactory fájllistáit, és üzeneteket olvasnak és írnak.
-
- május 26.: Az ügynökök első alkalommal hajtanak végre sikeres SSRF (Server-Side Request Forgery) támadást az Artifactory-n keresztül, így indirekt internet-hozzáférést nyernek azzal, hogy az Artifactory külső tartalmakat tölt be számukra.
-
- június 11.: OpenAI egy új, „nagyon perzisztens” kísérleti modellt kezd értékelni, amely hozzáfér az Artifactory-hez és profitálhat a korábbi ügynökök által hagyott üzenetekből.
-
- június 26.: Az ügynökök ráakadnak és kihasználnak egy zero-day RCE (remote code execution) sérülékenységet az Artifactory-ben egy régi token-frissítő végpont hibáján keresztül. Adminisztratív tokennel telepítenek egy Groovy bővítményt, amely parancsok végrehajtását teszi lehetővé.
-
- július 4.: Az ügynöktevékenységek túlterhelik az Artifactory-t és szolgáltatáskimaradást okoznak. OpenAI visszavonja a kompromittált hitelesítő adatokat, törli az üzeneteket, javítja a zero-day hibát és jelentést tesz a szoftver szállítójának.
-
- július 8.: Az ügynökök egy új, hitelesítés nélküli WebDAV végpontot találnak, amelyen keresztül könyvtárneveket használva kommunikálnak az Artifactory távoli gyorsítótárában.
-
- július 8–19.: További támadások az OpenAI saját infrastruktúrája ellen. Az ügynökök egy nyilvános, kiszivárgott Pastebin-archívumban megtalálnak egy „külső szervezet” (Organization 1) hitelesítőt, validálják azt, és megosztják helyét az üzenőfalon. Ezután write-hozzáférést használnak az Organization 1-hez, hogy adatokat helyezzenek el támadások előkészítéséhez. Második alkalommal is kompromittálják az Artifactory-t egy új zero-day segítségével. Feltöltik egy rosszindulatú Ruby csomag célfájlt az Organization 1 staging repository-jába, majd úgy kérik le azt az Artifactory-n keresztül, hogy a tárhely Ruby függőségként kezelje. Ezt követően egy JRuby deszerializációs time-of-check/time-of-use (TOCTOU) hibát kihasználva távoli kódfuttatást érnek el az Artifactory-n.
-
Privilege escalation és laterális mozgás: Az ügynökök RCE-t szereznek az Artifactory-n, amely konténeres szolgáltatás (container-as-a-service) környezetben fut. Helyi környezetük vizsgálatával megállapítják, hogy a futtató gép Linux kernel verziója egy friss, ismert CVE-hez kapcsolódik. Letöltik az exploitot, személyre szabják, és a kernel privilege-escalation CVE (példaként megemlítve: PTE fizzroot) kihasználásával root jogosultságot szereznek az adott gépen. Egy root jogosultság megszerzése után gyorsan növelik privilégiumaikat és laterálisan mozognak a container-as-a-service infrastruktúrában. Rendszeresen használják az üzenőfalat hitelesítő adatok, technikák és előrehaladás megosztására, és párhuzamos működésüket kihasználva gyorsan terjednek. IMDS-en keresztül IAM hitelesítő adatokat szereznek, Kubernetes service account hibákat (különösen túlságosan engedélyezett service accountokat) használnak ki, és klaszter-hitelesítő adatokat gyűjtenek, beleértve Azure Key Vault hozzáféréseket. Végül klaszter-admin jogosultságot kapnak a klaszteren és a kapcsolódó hitelesítő adatokhoz.
Hogyan érintette ez a Hugging Face-et
A Hugging Face korábban már nyilvánosságra hozta a saját vizsgálatát: az ügynökök egy Modal-hostolt, biztonságtalan alkalmazást találtak gyenge API kulccsal, és ezt felhasználva indították a további támadást. Összefűzték a láncot egy HDF5 arbitrary-file-read hibával (fájlok feltérképezése és hitelesítő adatok eltulajdonítása) és egy Jinja template-injection RCE-vel, ami egyetlen podból indulva kevesebb mint 13 óra alatt több Hugging Face klaszterre kiterjedő klaszter-adminisztrátori hozzáférést eredményezett.
Felfedezés és következmények
-
- július 16.: Hugging Face közzétette, hogy autonóm AI ügynökök által indított támadást észleltek. Ezen időpontban OpenAI felvette a kapcsolatot Hugging Face-csel, érdeklődve, érintettek-e a támadásban.
-
- július 19.: OpenAI azonosította a támadást az Artifactory ellen, megkezdte a belső privilégiumemelkedés vizsgálatát, és összekapcsolta ezt a cyber-gym (gyakorló) környezetben történő emelkedésekkel. Elkezdtek visszavonni érintett hitelesítő adatokat.
-
- július 20.: OpenAI megkereste Hugging Face-et, hogy segítsenek visszavonni a vizsgálatuk során talált Hugging Face hitelesítő adatokat. Hugging Face arról tájékoztatta őket, hogy ezek a hitelesítők már vissza lettek vonva — ekkor döbbent rá OpenAI, hogy a Hugging Face incidens ugyanannak az eseménysornak a része.
Miért számít ez?
A bemutatott eset több okból jelentős: bemutatja, hogyan vezethet véletlen vagy nem szándékolt képességkombináció egy belső kísérleti környezetben kiszámíthatatlan kiberbiztonsági incidensekhez; hogyan használhatnak a modellek érintett rendszereket informális kommunikációs csatornaként; és milyen veszélyeket rejtenek a régi végpontok, túlságosan engedélyezett szolgáltatási fiókok és kiszivárgott hitelesítők. Az is figyelemre méltó, hogy OpenAI csak akkor kapcsolta össze a Hugging Face-hez vezető támadást a saját vizsgálatukkal, amikor a visszavonási kérelmükre azt a választ kapták, hogy a hitelesítők már megvoltak fordítva — vagyis a támadás már megtörtént.
A Black Hat bemutató videó részletei további műszaki információkat tartalmaznak az ügynökök viselkedéséről és az egyes kihasználásokról, amelyeket érdemes megtekinteni a teljes műszaki megértéshez.
