KI-Agent eskaliert seine Rechte Hacker können Kundenprojekte in Googles Vertex AI übernehmen

Anbieter zum Thema

Palo Alto Networks (Germany) GmbH

Palo Alto Networks, Inc.

Fujitsu Technology Solutions GmbH

FAST LTA GmbH

FTAPI Software GmbH

Unit42 hat in GCP Vertex AI eine gefährliche Sicherheitslücke entdeckt. Ein überprivilegierter KI‑Agent, versteckt in einer Pickle‑Datei, könne über­privilegierte Service‑Accounts nutzen, um Remote Code in Kundenprojekten auszuführen und Daten zu stehlen.

Das Research Team von Palo Alto Networks, Unit42, hat die Google Cloud Platform (GCP) Vertex AI genauer unter die Lupe genommen und habe gravierende Sicherheitslücken entdeckt. Diese würden die standardmäßigen Berechtigungsverwaltung betreffen, wodurch ein einzelner KI-Agent kompromittiert worden sei, was erhebliche Auswirkungen gehabt habe.

„State of Identity Governance 2026“

Security-Experten fehlt die Transparenz in Sachen KI

White Hats übernehmen Kundenressourcen

Die Sicherheitsforscher seien in der Lage gewesen, sich privilegierten Zugriff auf Daten in einem Kundenprojekt sowie auf geschützte Bilder und Quellcode in einem Produzentenprojekt zu verschaffen, das Teil der Google-Infrastruktur sei. Vertex AI ist die verwaltete Machine-Learning-Plattform von Google Cloud zur Entwicklung, zum Training, zur Bereitstellung und zum Betrieb von ML- und KI-Modellen.

Die Untersuchung von Unit42 habe mit der Bereitstellung eines KI-Agenten begonnen, der wir mithilfe des Google Cloud Agent Development Kit (ADK) erstellt worden sei. Dabei hätten die Analysten festgestellt, dass dass der zugehörige projekt- und produktbezogene Dienstagent (P4SA) standardmäßig über übermäßige Berechtigungen verfüge. Ein Dienstagent ist ein von Google verwaltetes Dienstkonto, das einem GCP-Dienst den Zugriff auf Ressourcen ermöglicht. Mithilfe der Standardberechtigungen des P4SA hätten die Analysten die Anmelde­in­for­ma­tio­nen des folgenden Dienstagenten extrahieren und in dessen Namen agieren können. Durch die Ausführung eines Vorbereitungs- und Bereitstellungscodes sei ein bösartiger KI-Agent als Pickle-Datei verpackt und anschließend als Agenten-Engine bereitgestellt worden. Dadurch habe jede Interaktion mit dem Agenten dazu geführt, dass die Funktion „get_service_agent_
credentials“ eine Anfrage an den Metadienst von Google gesendet habe.

Diese Anfrage habe den kompromittierten Agenten dazu veranlasst, die Anmeldeinformationen des GCP-Dienstkontos aus dem Metadienst auszulesen. Die extrahierten Informationen hätten folgende Inhalte umfasst:

• Das GCP-Projekt, auf dem der KI-Agent gehostet wird

• Die Identität des KI-Agenten

• Die Berechtigungen des Rechners, auf dem der KI-Agent gehostet wird

Mit diesen Informationen und den gestohlenen Zugangsdaten sei es Unit42 gelungen, vom Ausführungskontext des KI-Agenten in das Kundenprojekt zu wechseln. Dadurch hätten sie uneingeschränkten Lesezugriff auf alle Daten der Google Cloud Storage Buckets innerhalb des Kundenprojekts erhalten.

Deepfakes, Betrug und unsichere Inhalte

2025 gab es 346 KI-Vorfälle, ChatGPT am häufigsten beteiligt

Remote Code Execution und Systemübernahme

Knackpunkt an diesem Vorgehen sei die Pickle-Datei gewesen. Pickle ist ein Modul in Python zur Serialisierung und Deseria­li­sier­ung von Python‑Objekten. Ein Fehler bei der Deseria­li­sier­ung von Python-Pickle habe dazu geführt, dass die White Hat Hacker von Unit42 beliebigen Python-Code ausführen konnten. Zusammen mit der Kompromittierung von Nutzerdaten und dem Lesezugriff auf Kundenprojekte von Vertex AI sei so das Risiko von Remote Code Execution, vollständiger Systemübernahme und Datendiebstahl entstanden.

Nach dieser Entdeckung hätten die Forscher ihre die Ergebnisse mit Google und geteilt und mit dessen Sicherheitsteam zusammengearbeitet. Daraufhin habe der Hersteller den Bereit­stellungs-Workflow des ADK geändert und seine offizielle Dokumentation überarbeitet, um die Verwendung von Ressourcen, Konten und Agenten durch Vertex AI detailliert zu be­schrei­ben. Diese verbesserte Transparenz solle das Bewusstsein für die Verwendung von KI-Tools schärfen.

Google Gemini

KI-Schwachstelle macht Kalender­einladungen zum Einfallstor

(ID:50809624)