Di seguito vengono descritti tutti i bollettini di sicurezza relativi a Gemini Enterprise Agent Platform.
Per ricevere gli ultimi bollettini di sicurezza, esegui una delle seguenti operazioni:
- Aggiungi l'URL di questa pagina al tuo aggregatore di feed.
Aggiungi l'URL del feed direttamente al tuo lettore di feed:
https://cloud.google.com/feeds/vertex-ai-security-bulletins.xml
GCP-2026-012
Pubblicato il: 20/02/2026
| Descrizione | Gravità | Note |
|---|---|---|
|
In Google Cloud Gemini Enterprise Agent Platform, è stata identificata una vulnerabilità che coinvolge la denominazione prevedibile dei bucket in Vertex AI Experiments dalla versione 1.21.0 fino alla versione 1.133.0 (inclusa). Che cosa devo fare? Per la mitigazione non è necessaria alcuna azione da parte del cliente. CVE-2026-2473 consente a un malintenzionato remoto non autenticato di ottenere l'esecuzione di codice remoto cross-tenant, il furto di modelli e l'avvelenamento utilizzando la pre-creazione di bucket Cloud Storage con nomi prevedibili (Bucket Squatting). Questa vulnerabilità è stata identificata nella versione 1.21.0 di Vertex AI Experiments ed è elencata in CVE-2026-2473. Le mitigazioni sono già state applicate alla versione 1.133.0 e successive. |
Alta | CVE-2026-2473 |
GCP-2026-011
Pubblicato il: 20/02/2026
| Descrizione | Gravità | Note |
|---|---|---|
|
È stata identificata una vulnerabilità di cross-site scripting (XSS) memorizzata in _genai/_evals_visualization in Google google-cloud-aiplatform (visualizzazione dell'SDK Python di Gemini Enterprise Agent Platform) su Exclusively-Hosted-Service. Che cosa devo fare? Per ricevere la correzione, i clienti dovranno aggiornare l'SDK Python google-cloud-aiplatform alla versione 1.131.0 (rilasciata il 16/12/2025) o successive. CVE-2026-2472 consente a un utente malintenzionato remoto non autenticato di eseguire codice JavaScript arbitrario nell'ambiente Jupyter o Colab di una vittima tramite l'inserimento di sequenze di escape di script nei risultati della valutazione del modello o nei dati JSON del set di dati. Questa vulnerabilità è stata identificata in Google google-cloud-aiplatform (SDK Python di Gemini Enterprise Agent Platform) prima della versione 1.131.0 ed è elencata in CVE-2026-2472. |
Alta | CVE-2026-2472 |
GCP-2023-036
Pubblicato il: 30/10/2023
| Descrizione | Gravità | Note |
|---|---|---|
|
Deep Learning VM Images è un insieme di immagini di macchine virtuali preconfezionate con un framework di deep learning pronto per l'uso. Di recente è stata scoperta una vulnerabilità di scrittura fuori dai limiti nella funzione `ReadHuffmanCodes()` della libreria `libwebp`. Ciò potrebbe influire sulle immagini che utilizzano questa libreria. Google Cloud esegue la scansione continua delle immagini pubblicate pubblicamente e aggiorna i pacchetti per garantire che le distribuzioni patchate siano incluse nelle ultime release disponibili per l'adozione da parte dei clienti. Le Deep Learning VM Image sono state aggiornate per garantire che le VM Image più recenti includano le distribuzioni patchate. I clienti che adottano le immagini VM più recenti non sono esposti a questa vulnerabilità. Che cosa devo fare? I clienti diGoogle Cloud che utilizzano immagini VM pubblicate devono assicurarsi di adottare le immagini più recenti e che i loro ambienti siano aggiornati in base al modello di responsabilità condivisa. CVE-2023-4863 potrebbe essere sfruttata da un malintenzionato per eseguire codice arbitrario. Questa vulnerabilità è stata identificata in Google Chrome prima della versione 116.0.5845.187 e in `libwebp` prima della versione 1.3.2 ed è elencata in CVE-2023-4863. |
Alta | CVE-2023-4863 |
GCP-2023-029
Pubblicato il: 03/10/2023
| Descrizione | Gravità | Note |
|---|---|---|
|
TorchServe viene utilizzato per ospitare modelli di machine learning PyTorch per la previsione online. Gemini Enterprise Agent Platform fornisce container predefiniti per l'erogazione di modelli PyTorch che dipendono da TorchServe. Di recente sono state scoperte vulnerabilità in TorchServe che consentirebbero a un malintenzionato di assumere il controllo di un deployment di TorchServe se la relativa API di gestione dei modelli è esposta. I clienti con modelli PyTorch di cui è stato eseguito il deployment nella previsione online di Gemini Enterprise Agent Platform non sono interessati da queste vulnerabilità, poiché Gemini Enterprise Agent Platform non espone l'API di gestione dei modelli di TorchServe. I clienti che utilizzano TorchServe al di fuori di Gemini Enterprise Agent Platform devono prendere precauzioni per assicurarsi che i loro deployment siano configurati in modo sicuro. Che cosa devo fare? I clienti di Gemini Enterprise Agent Platform con modelli di cui è stato eseguito il deployment che utilizzano i container di servizio PyTorch predefiniti di Gemini Enterprise Agent Platform non devono intraprendere alcuna azione per risolvere le vulnerabilità, poiché i deployment di Gemini Enterprise Agent Platform non espongono il server di gestione di TorchServe a internet. I clienti che utilizzano i container PyTorch predefiniti in altri contesti o che utilizzano una distribuzione di TorchServe personalizzata o di terze parti devono:
Quali vulnerabilità vengono affrontate? L'API di gestione di TorchServe è associata a CVE-2023-43654 e CVE-2022-1471 consentono a un utente con accesso all'API di gestione di caricare modelli da origini arbitrarie ed eseguire codice da remoto. Le mitigazioni per entrambi i problemi sono incluse in TorchServe 0.8.2: il percorso di esecuzione del codice remoto viene rimosso e viene emesso un avviso se viene utilizzato il valore predefinito per |
Alta | CVE-2023-43654, CVE-2022-1471 |