Buletin keamanan

Berikut adalah penjelasan semua buletin keamanan yang terkait dengan Gemini Enterprise Agent Platform.

Untuk mendapatkan buletin keamanan terbaru, lakukan salah satu hal berikut:

  • Tambahkan URL halaman ini terhadap pembaca feed Anda.
  • Tambahkan URL feed langsung ke pembaca feed: https://cloud.google.com/feeds/generative-ai-on-vertex-ai-security-bulletins.xml

GCP-2025-059

Dipublikasikan: 21-10-2025

Diperbarui: 22-10-2025

Deskripsi Keparahan Catatan

Update 22-10-2025: Menambahkan link ke CVE.

Pada 23 September 2025, kami menemukan masalah teknis di Gemini Enterprise API yang menyebabkan sejumlah kecil respons salah diarahkan di antara penerima untuk model pihak ketiga tertentu saat menggunakan permintaan streaming. Masalah ini kini telah diperbaiki. Model Google, misalnya Gemini, tidak terpengaruh.

Beberapa proxy internal tidak menangani permintaan HTTP yang memiliki header Expect: 100-continue dengan benar, sehingga menyebabkan desinkronisasi dalam koneksi respons streaming, di mana respons yang ditujukan untuk satu permintaan justru dikirimkan sebagai respons untuk permintaan berikutnya.

Apa yang sebaiknya saya lakukan?

Kami telah menerapkan perbaikan untuk mengatasi keberadaan header Expect: 100-continue dengan benar, dan mencegah masalah ini terulang kembali. Kami juga telah menambahkan pengujian, pemantauan, dan pemberitahuan agar kami dapat dengan cepat mendeteksi terjadinya masalah ini untuk mencegah regresi. Saat ini, pelanggan tidak perlu melakukan tindakan apa pun untuk mencegah terjadinya perilaku yang tidak diinginkan.

Perbaikan diluncurkan untuk berbagai model dengan jadwal terpisah, dengan model Anthropic diperbaiki pada 26 September, pukul 00. 45 PDT dan semua platform diperbaiki pada 28 September, pukul 19. 10 PDT. Model yang terpengaruh di Gemini Enterprise API dan waktu penyelesaiannya tercantum di bawah:

  • Model Partner Model-as-a-Service Anthropic (Claude)

    • Masalah ini telah diperbaiki pada 26 September 2025, pukul 12.45 PDT.

  • Semua model Open Model-as-a-Service, termasuk: DeepSeek (R1-0528 dan V3.1), OpenAI (gpt-oss-120b dan gpt-oss-20b), Qwen (Next Instruct 80B, Next Thinking 80B, Qwen 3 Coder, dan Qwen 3 235B), Llama (Maverick, Scout, 3.3, 3.2, 3.1 405b, 3.1 70b, dan 3.1 8b)

    • Masalah ini telah diperbaiki pada 28 September 2025, pukul 02.43 PDT.

  • Model Model-as-a-Service Partner Mistral dan AI21

    • Masalah ini telah diperbaiki pada 28 September 2025, pukul 11.00 PDT.

  • Model yang di-deploy sendiri yang metode 'StreamRawPredict', 'ChatCompletions', 'GenerateContent', atau 'StreamGenerateContent'-nya dipanggil menggunakan endpoint publik

    • Masalah ini telah diperbaiki pada 28 September 2025, pukul 19.10 PDT.

    • Endpoint khusus (default di Model Garden Gemini Enterprise Agent Platform) maupun endpoint pribadi tidak terpengaruh.

Sedang CVE-2025-11915

GCP-2024-063

Dipublikasikan: 06-12-2024

Deskripsi Keparahan Catatan

Kerentanan ditemukan di Agent Platform API yang menyajikan permintaan multimodal Gemini, sehingga memungkinkan pengabaian Kontrol Layanan VPC. Penyerang mungkin dapat menyalahgunakan parameter fileURI API untuk mengeksfiltrasi data.

Apa yang sebaiknya saya lakukan?

Tidak perlu tindakan apa pun. Kami telah menerapkan perbaikan untuk menampilkan pesan error saat URL file media ditentukan dalam parameter fileUri dan Kontrol Layanan VPC diaktifkan. Kasus penggunaan lainnya tidak terpengaruh.

Kerentanan apa yang ditangani?

API Agent Platform yang menyajikan permintaan multimodal Gemini memungkinkan Anda menyertakan file media dengan menentukan URL file media dalam parameter fileUri. Kemampuan ini dapat digunakan untuk mengabaikan perimeter Kontrol Layanan VPC. Penyerang di dalam perimeter layanan dapat mengenkode data sensitif dalam parameter fileURI untuk mengabaikan perimeter layanan.

Sedang CVE-2024-12236