Confira a seguir todos os boletins de segurança relacionados à plataforma de agentes do Gemini Enterprise.
Para receber os boletins de segurança mais recentes, siga um destes procedimentos:
- Adicione o URL desta página ao seu leitor de feeds
Adicione o URL do feed diretamente ao seu leitor de feeds:
https://cloud.google.com/feeds/vertex-ai-security-bulletins.xml
GCP-2026-012
Publicado em:20/02/2026
| Descrição | Gravidade | Observações |
|---|---|---|
|
Na plataforma de agentes do Google Cloud Gemini Enterprise, uma vulnerabilidade envolvendo a nomenclatura previsível de buckets foi identificada nos Experimentos da Vertex AI da versão 1.21.0 até a 1.133.0 (sem incluir essa última). O que devo fazer? Nenhuma ação do cliente é necessária para a mitigação. CVE-2026-2473 permite que um invasor remoto não autenticado realize execução de código remoto entre locatários, roubo de modelos e envenenamento usando buckets do Cloud Storage com nomes previsíveis (Bucket Squatting). Essa vulnerabilidade foi identificada na versão 1.21.0 dos Experimentos da Vertex AI e está listada na CVE-2026-2473. As mitigações já foram aplicadas à versão 1.133.0 e mais recentes. |
Alta | CVE-2026-2473 |
GCP-2026-011
Publicado em:20/02/2026
| Descrição | Gravidade | Observações |
|---|---|---|
|
Uma vulnerabilidade de scripting em vários sites (XSS) armazenada em _genai/_evals_visualization foi identificada no google-cloud-aiplatform do Google (visualização do SDK do Python da plataforma de agentes do Gemini Enterprise) no serviço hospedado exclusivamente. O que devo fazer? Os clientes precisam atualizar o SDK do Python google-cloud-aiplatform para a versão 1.131.0 (lançada em 16/12/2025) ou mais recente para receber a correção. CVE-2026-2472 permite que um invasor remoto não autenticado execute JavaScript arbitrário no ambiente Jupyter ou Colab de uma vítima usando sequências de escape de script injetadas nos resultados da avaliação do modelo ou nos dados JSON do conjunto de dados. Essa vulnerabilidade foi identificada no google-cloud-aiplatform do Google (SDK do Python da plataforma de agentes do Gemini Enterprise) antes da versão 1.131.0 e está listada na CVE-2026-2472. |
Alta | CVE-2026-2472 |
GCP-2023-036
Publicado em: 30/10/2023
| Descrição | Gravidade | Observações |
|---|---|---|
|
O Deep Learning VM Images é um conjunto de imagens de máquinas virtuais pré-empacotadas com um framework de aprendizado profundo pronto para ser executado. Recentemente, uma vulnerabilidade de gravação fora do limite foi descoberta na função "ReadHuffmanCodes()" da biblioteca "libwebp". Isso pode afetar as imagens que usam essa biblioteca. OGoogle Cloud verifica continuamente as imagens públicas e atualiza os pacotes para garantir que as distribuições com patch sejam incluídas nas versões mais recentes disponíveis para a adoção pelo cliente. O Deep Learning VM Image foi atualizado para garantir que as imagens de VM mais recentes incluam as distribuições com patch. Os clientes que adotam as imagens de VM mais recentes não ficam expostos a essa vulnerabilidade. O que devo fazer? Os clientes doGoogle Cloud que usam imagens de VM publicadas precisam verificar se estão adotando as imagens mais recentes e se os ambientes estão atualizados de acordo com o modelo de responsabilidade compartilhada. A CVE-2023-4863 pode ser explorada por um invasor que queira executar códigos arbitrários. Essa vulnerabilidade foi identificada no Google Chrome antes da 116.0.5845.187 e em "libwebp" antes da 1.3.2 e está listada na CVE-2023-4863. |
Alta | CVE-2023-4863 |
GCP-2023-029
Publicado em: 03/10/2023
| Descrição | Gravidade | Observações |
|---|---|---|
|
O TorchServe é usado para hospedar modelos de machine learning PyTorch para previsão on-line. A plataforma de agentes do Gemini Enterprise fornece contêineres pré-criados de disponibilização do modelo PyTorch que dependem do TorchServe. Recentemente, foram descobertas no TorchServe vulnerabilidades que permitiriam a um invasor assumir o controle de uma implantação do TorchServe se a API de gerenciamento de modelos for exposta. Os clientes com modelos PyTorch implantados na previsão on-line da plataforma de agentes do Gemini Enterprise não são afetados por essas vulnerabilidades, porque a plataforma de agentes do Gemini Enterprise não expõe a API de gerenciamento de modelos do TorchServe. Os clientes que usam o TorchServe fora da plataforma de agentes do Gemini Enterprise precisam tomar precauções para garantir que as implantações sejam configuradas com segurança. O que devo fazer? Os clientes da plataforma de agentes do Gemini Enterprise com modelos implantados usando os contêineres de exibição pré-criados do PyTorch da plataforma de agentes do Gemini Enterprise não precisam fazer nada para resolver as vulnerabilidades, já que as implantações da plataforma de agentes do Gemini Enterprise não expõem o servidor de gerenciamento do TorchServe à Internet. Os clientes que usam os contêineres pré-criados do PyTorch em outros contextos ou que usam uma distribuição personalizada ou de terceiros do TorchServe devem fazer o seguinte:
Quais vulnerabilidades estão sendo abordadas? A API de gerenciamento do TorchServe está vinculada a A CVE-2023-43654 e a CVE-2022-1471 permitem que um usuário com acesso à API de gerenciamento carregue modelos de fontes arbitrárias e execute código remotamente. As mitigações para esses dois problemas estão incluídas no TorchServe 0.8.2: o caminho de execução do código remoto é removido e um aviso é emitido se o valor padrão de |
Alta | CVE-2023-43654, CVE-2022-1471 |