Preview. This feature is subject to the "Pre-GA Offerings Terms" in the General Service Terms
section of the Service Specific Terms.
Passa ai contenuti principali
Aggiungi l'URL del feed direttamente al tuo lettore di feed: https://cloud.google.com/feeds/generative-ai-on-vertex-ai-security-bulletins.xml
GCP-2025-059
Pubblicato: 21/10/2025
Ultimo aggiornamento: 22/10/2025
Descrizione
Gravità
Note
Aggiornamento del 22/10/2025:è stato aggiunto il link al CVE.
Il 23 settembre 2025 abbiamo rilevato un problema tecnico nell'API Gemini Enterprise che ha causato un errato instradamento di un numero limitato di risposte tra i destinatari per alcuni modelli di terze parti quando si utilizzano richieste di streaming. Il problema è stato risolto.
I modelli Google, ad esempio Gemini, non sono stati interessati.
Alcuni proxy interni non hanno gestito correttamente le richieste HTTP che
hanno un'intestazione Expect: 100-continue, causando
una desincronizzazione in una connessione di risposta in streaming, in cui
una risposta destinata a una richiesta è stata invece inviata come
risposta a una richiesta successiva.
Che cosa devo fare?
Abbiamo implementato correzioni per risolvere correttamente la presenza dell'intestazione Expect: 100-continue ed evitare che il problema si ripresenti. Abbiamo anche aggiunto test, monitoraggio e avvisi
in modo da poter rilevare rapidamente il problema ed evitare
regressioni. Al momento i clienti non devono intraprendere alcuna azione per
evitare che si verifichi il comportamento indesiderato.
Le correzioni sono state implementate per diversi modelli in pianificazioni separate,
con i modelli Anthropic corretti entro il 26 settembre alle 09:45 CEST e
tutte le piattaforme corrette entro il 29 settembre alle 04:10 CEST. Di seguito sono elencati i modelli interessati
sull'API Gemini Enterprise e l'ora di risoluzione:
Il problema è stato risolto il 26 settembre 2025 alle
00:45 PDT.
Tutti i modelli
Open Model-as-a-Service, tra cui: DeepSeek
(R1-0528 e V3.1), OpenAI (gpt-oss-120b e gpt-oss-20b),
Qwen (Next Instruct 80B, Next Thinking 80B, Qwen 3 Coder e
Qwen 3 235B), Llama (Maverick, Scout, 3.3, 3.2, 3.1 405b, 3.1 70b
e 3.1 8b)
Il problema è stato risolto il 28 settembre 2025 alle
02:43 PDT.
È stata scoperta una vulnerabilità nell'API Agent Platform che gestisce le richieste multimodali di Gemini, che consente di bypassare i Controlli di servizio VPC.
Un malintenzionato potrebbe essere in grado di utilizzare il
parametro fileURI
dell'API per esfiltrare i dati.
Che cosa devo fare?
Nessuna azione richiesta. Abbiamo implementato una correzione per restituire un messaggio di errore quando
un URL del file multimediale è specificato nel parametro fileUri e i controlli di servizio VPC
sono abilitati. Gli altri casi d'uso non sono interessati.
Quali vulnerabilità vengono affrontate?
L'API Agent Platform che gestisce le richieste multimodali Gemini ti consente di
includere file multimediali specificando l'URL del file multimediale nel
parametro fileUri. Questa funzionalità può essere utilizzata per bypassare i perimetri dei Controlli di servizio VPC. Un utente malintenzionato all'interno del perimetro di servizio
potrebbe codificare i dati sensibili nel parametro fileURI per bypassare
il perimetro di servizio.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2026-06-02 UTC."],[],[]]
