Aggiungi l'URL del feed direttamente al tuo lettore di feed: https://cloud.google.com/feeds/generative-ai-on-vertex-ai-security-bulletins.xml
GCP-2025-059
Pubblicazione: 21/10/2025
Ultimo aggiornamento: 22/10/2025
Descrizione
Gravità
Note
Aggiornamento del 22/10/2025: è stato aggiunto il link alla CVE.
Il 23 settembre 2025 abbiamo rilevato un problema tecnico nell'API Gemini Enterprise che ha causato l'instradamento errato di un numero limitato di risposte tra i destinatari per alcuni modelli di terze parti durante l'utilizzo di richieste di streaming. Il problema è stato risolto.
I modelli Google, ad esempio Gemini, non sono stati interessati.
Alcuni proxy interni non hanno gestito correttamente le richieste HTTP con un'intestazione Expect: 100-continue, causando una desincronizzazione in una connessione di risposta in streaming, in cui una risposta destinata a una richiesta è stata invece inviata come risposta per una richiesta successiva.
Che cosa devo fare?
Abbiamo implementato delle correzioni per gestire correttamente la presenza dell'intestazione Expect: 100-continue ed evitare che il problema si ripresenti. Abbiamo anche aggiunto test, monitoraggio e avvisi per poter rilevare rapidamente un'occorrenza di questo problema ed evitare la regressione. Al momento, i clienti non devono intraprendere alcuna azione per impedire che si verifichi il comportamento indesiderato.
Le correzioni sono state implementate per i diversi modelli in base a pianificazioni separate, con i modelli Anthropic corretti entro il 26 settembre alle 00:45 PDT e tutte le piattaforme corrette entro il 28 settembre alle 19:10 PDT. Di seguito sono elencati i modelli interessati nell'API Gemini Enterprise e l'ora della risoluzione:
Il problema è stato risolto il 26 settembre 2025 alle 00:45 PDT.
Tutti i modelli Open Model-as-a-Service, tra cui: DeepSeek (R1-0528 e V3.1), OpenAI (gpt-oss-120b e gpt-oss-20b), Qwen (Next Instruct 80B, Next Thinking 80B, Qwen 3 Coder e Qwen 3 235B), Llama (Maverick, Scout, 3.3, 3.2, 3.1 405b, 3.1 70b e 3.1 8b)
Il problema è stato risolto il 28 settembre 2025 alle 02:43 PDT.
Modelli Model-as-a-Service dei partner Mistral e AI21
Il problema è stato risolto il 28 settembre 2025 alle 11:00 PDT.
È stata scoperta una vulnerabilità nell'API Agent Platform che gestisce le richieste multimodali di Gemini, che consente di bypassare i Controlli di servizio VPC.
Un malintenzionato potrebbe essere in grado di utilizzare in modo improprio il parametro fileURI dell'API per esfiltrare i dati.
Che cosa devo fare?
Nessuna azione richiesta. Abbiamo implementato una correzione per restituire un messaggio di errore quando un URL di un file multimediale viene specificato nel parametro fileUri e i Controlli di servizio VPC sono abilitati. Altri casi d'uso non sono interessati.
Quali vulnerabilità vengono risolte?
L'API Agent Platform che gestisce le richieste multimodali di Gemini ti consente di includere file multimediali specificando l'URL del file multimediale nel parametro fileUri. Questa funzionalità può essere utilizzata per bypassare i perimetri dei Controlli di servizio VPC. Un utente malintenzionato all'interno del perimetro di servizio potrebbe codificare i dati sensibili nel parametro fileURI per bypassare il perimetro di servizio.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2026-10-28 UTC."],[],[]]
