Pesquisadores identificaram vulnerabilidades críticas em motores de IA utilizados por grandes empresas como Meta, Nvidia e Microsoft. Essas falhas, ligadas ao uso inseguro de ZeroMQ e do módulo pic...
Pesquisadores identificaram vulnerabilidades críticas em motores de IA utilizados por grandes empresas como Meta, Nvidia e Microsoft. Essas falhas, ligadas ao uso inseguro de ZeroMQ e do módulo pickle do Python, podem permitir que atacantes comprometam sistemas e roubem dados. É crucial que as empresas revisem suas configurações de segurança e apliquem boas práticas.
Pesquisadores de segurança identificaram vulnerabilidades críticas em motores de inferência de inteligência artificial usados por empresas como Meta, Nvidia e Microsoft. Esses sistemas são responsáveis por executar modelos de IA em ambientes corporativos. As falhas estão ligadas ao uso inseguro de ZeroMQ e do módulo pickle do Python, permitindo a desserialização de objetos.
O problema começou em um componente do Llama, da Meta, que utilizava o método recv_pyobj() para desserializar dados recebidos pela rede. Com o socket ZeroMQ exposto, um invasor poderia enviar conteúdo malicioso e executar código remoto. Essa falha originou o CVE-2024-50050, já corrigido pela empresa, mas o mesmo padrão foi encontrado em outras soluções como Nvidia TensorRT-LLM e Microsoft Sarathi-Serve.
Segundo os pesquisadores, essa brecha permite que atacantes transformem um único nó comprometido em porta de entrada para controlar todo o cluster, roubar modelos, escalar privilégios ou instalar mineradores de criptomoedas. A pressa em desenvolver soluções de IA e a prática de copiar trechos de código sem revisão de segurança amplificam rapidamente esses riscos.
Outro ponto de atenção envolve o editor de código Cursor, baseado no Visual Studio Code. Extensões maliciosas ou servidores MCP preparados por atacantes podem injetar JavaScript e criar páginas falsas para roubo de credenciais.
Dica de prevenção: Empresas devem:
A falta de correção pode permitir que atacantes controlem sistemas inteiros, roubem dados sensíveis e instalem malware.
Realizando auditorias de segurança e revisando as configurações de sistemas de IA e IDEs utilizadas.
Desabilitar a desserialização insegura e aplicar correções de segurança fornecidas pelos fornecedores, além de revisar as permissões de acesso.
Para proteger sua empresa contra vulnerabilidades em sistemas de IA, conheça os serviços da LC SEC, incluindo pentests e auditorias de segurança robustas.