Ranjivosti Nvidia mogu pustiti da napadači otežavaju AI poslužitelje zaključivanja

Lanac napada na Nvidijinom poslužitelju Triton zaključivanja koji bi mogao omogućiti udaljenim napadačima da steknu potpunu kontrolu sada je zakrpan. Sastojalo se od tri ranjivosti koje su omogućile neovlaštenim korisnicima da dobiju memorijski ključ međuprocesnih komunikacija (IPC) i koristi ga za izradu zlonamjernih zahtjeva za zaključivanje.

Triton je softverski proizvod s otvorenim kodom koji korisnicima omogućuje pokretanje i upravljanje višestrukim modelima umjetne inteligencije iz različitih okvira istovremeno na CPU-u ili GPU-u. To usmjerava zahtjeve za zaključivanje, gdje se od obučenog AI modela traži da predviđa ili generira izlaze na temelju neviđenih ulaznih podataka, na ispravan model. U rukama napadača takvi bi zahtjevi mogli pružiti potpunu kontrolu nad poslužiteljem.

Wiz istraživači, koji su otkrili ranjivosti i otkrili ih Nvidia u svibnju, napisali su u svom tehnički pregled: “To predstavlja kritični rizik za organizacije koje koriste Triton za AI/ML, jer bi uspješan napad mogao dovesti do krađe vrijednih AI modela, izlaganja osjetljivim podacima, manipuliranja odgovora AI modela i spoticanja napadača da se dublje presele u mrežu.”

Tri ranjivosti koje omogućuju napadni lanac proglašeni su CVE-2025-23319, CVE-2025-23320 i CVE-2025-23334, a sve su prisutne u verzijama poslužitelja Triton zaključivanja prije 25.07. Nvidia preporučuje da svi korisnici instaliraju najnovije ažuriranje iz Izdanja poslužitelja Triton zaključivanja Stranica na GitHub -u, koja također zakrpi 14 drugih ranjivosti.

Kako funkcionira lanac napada?

1. Napadač započinje pronalaženjem javno izložene instance poslužitelja Triton zaključivanja putem jednostavnog internetskog pretraživanja. Zatim na poslužitelj šalju veliki, posebno izrađeni zahtjev, što pokreće poruku o pogrešci. Poruka o pogrešci sadrži potpuno, jedinstveno ime unutarnjeg memorijskog područja za dijeljenje IPC -a, nešto što bi trebalo ostati privatno.
2. Zatim oni koriste ovo ime za pristup Triton značajci koja omogućuje korisnicima da čitaju i pišu podatke u onu imenovanu regiju zajedničke memorije. Namjera ove značajke je omogućiti ovlaštenim korisnicima da efikasnije prenose podatke i ubrzaju zaključke. Nažalost, Triton ne potvrđuje da li regija zajedničke memorije zapravo pripada korisniku koji traži pristup njemu ili je to privatna regija kojoj nitko ne bi trebao pristupiti.
3. Napadač tada izrađuje zahtjeve za zaključivanje koristeći zajedničku memorijsku regiju i to im daje potpunu kontrolu nad poslužiteljem. Na primjer, zahtjev bi mogao uključivati zlonamjernu IPC poruku koja prekriva poslužitelj u učitavanje zlonamjernih AI modela ili zaobilaženje sigurnosnih provjera.

AI infrastruktura nudi rastuću površinu napada

NVIDIA je nedavno morala riješiti brojne ranjivosti u svom popularnom ekosustavu AI infrastrukture. Samo prošlog mjeseca zakrpila je još jednu manu koju je Wiz pronašao koji bi mogao omogućiti napadačima da izbjegnu granice spremnika u alatu za kontejnere NVIDIA i dobiju puni korijenski pristup mašini domaćina.

Oni služe kao podsjetnik da, budući da je AI i dalje ugrađen u kritične tijekove rada, sigurnosni timovi ne smiju zanemariti rastuću površinu napada infrastrukture koja je podržava.

Kina istražuje NVIDIA oko tvrdnji da bi njegovi H20 AI čipovi mogli potajno pratiti korisnike ili biti ugašeni na daljinu – oštar udarac samo nekoliko tjedana nakon što su ublažena ograničenja američkog izvoza.