Agrega la URL del feed directamente a tu lector de feeds: https://cloud.google.com/feeds/generative-ai-on-vertex-ai-security-bulletins.xml
GCP-2025-059
Publicado: 21-10-2025
Actualización: 22 de octubre de 2025
Descripción
Gravedad
Notas
Actualización del 22 de octubre de 2025: Se agregó un vínculo a la CVE.
El 23 de septiembre de 2025, descubrimos un problema técnico en
la API de Gemini Enterprise que provocó que una cantidad limitada de respuestas
se enrutaran de forma incorrecta entre los destinatarios de ciertos modelos de terceros
cuando se usaban solicitudes de transmisión. Este problema ahora está resuelto.
Los modelos de Google, p.ej., Gemini, no se vieron afectados.
Algunos proxies internos no controlaron de forma correcta las solicitudes HTTP que
tienen un encabezado Expect: 100-continue, lo que generó
una desincronización en una conexión de respuesta de transmisión, en la que
una respuesta destinada a una solicitud se entregó como
la respuesta de una solicitud posterior.
¿Qué debo hacer?
Implementamos correcciones para abordar de forma adecuada la presencia del encabezado Expect: 100-continue y evitar que este problema vuelva a ocurrir. También agregamos pruebas, supervisión y alertas
para poder detectar rápidamente este problema y evitar
una regresión. Por el momento, los clientes no tienen que realizar ninguna acción para evitar que se repita el comportamiento no deseado.
Las correcciones se implementaron en diferentes modelos con programas separados.
Se realizó la corrección en los modelos de Anthropic el 26 de septiembre a las 12:45 a.m., PDT, y
en todas las superficies el 28 de septiembre a las 7:10 p.m., PDT. A continuación, se indican los modelos afectados
en la API de Gemini Enterprise y la hora de resolución:
El problema se solucionó el 26 de septiembre de 2025 a las
12:45 a.m., PDT.
Todos los modelos
abiertos como servicio, incluidos los siguientes: DeepSeek
(R1-0528 y V3.1), OpenAI (gpt-oss-120b y gpt-oss-20b),
Qwen (Next Instruct 80B, Next Thinking 80B, Qwen 3 Coder y
Qwen 3 235B), Llama (Maverick, Scout, 3.3, 3.2, 3.1 405b, 3.1 70b
y 3.1 8b)
El problema se solucionó el 28 de septiembre de 2025 a las
2:43 a.m., PDT.
Se descubrió una vulnerabilidad en la API de Agent Platform que entrega solicitudes
multimodales de Gemini, lo que permite omitir los
Controles del servicio de VPC.
Un atacante podría abusar del parámetro
fileURI
de la API para robar datos.
¿Qué debo hacer?
No se requiere ninguna acción. Implementamos una corrección para que se devuelva un mensaje de error cuando se especifica una URL de archivo multimedia en el parámetro fileUri y los Controles del servicio de VPC están habilitados. Los demás casos de uso no se verán afectados.
¿Qué vulnerabilidades se abordan?
La API de Agent Platform que entrega solicitudes multimodales de Gemini te permite
incluir archivos multimedia especificando la URL del archivo multimedia en el
parámetro fileUri. Esta capacidad se puede usar para omitir
los perímetros de los Controles del servicio de VPC. Un atacante dentro del perímetro de servicio
podría codificar datos sensibles en el parámetro fileURI para omitir
el perímetro de servicio.
[[["Fácil de comprender","easyToUnderstand","thumb-up"],["Resolvió mi problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Información o código de muestra incorrectos","incorrectInformationOrSampleCode","thumb-down"],["Faltan la información o los ejemplos que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2026-10-30 (UTC)"],[],[]]
