피드 리더에 피드 URL을 직접 추가합니다. https://cloud.google.com/feeds/generative-ai-on-vertex-ai-security-bulletins.xml
GCP-2025-059
게시: 2025년 10월 21일
업데이트: 2025년 10월 22일
설명
심각도
참고
2025년 10월 22일 업데이트: CVE에 링크가 추가되었습니다.
2025년 9월 23일, 스트리밍 요청을 사용할 때 특정 서드 파티 모델의 제한된 응답량으로 인해 수신자 간에 잘못 라우팅되는 Vertex AI API의 기술적 문제가 발견되었습니다. 이 문제는 현재 해결된 상태입니다.
Google 모델(예: Gemini)은 영향을 받지 않았습니다.
일부 내부 프록시가 Expect: 100-continue 헤더가 있는 HTTP 요청을 제대로 처리하지 못하여 스트리밍 응답 연결에서 동기화가 해제되었습니다. 그 결과 하나의 요청에 대한 응답이 대신 후속 요청에 대한 응답으로 잘못 전달되었습니다.
어떻게 해야 하나요?
Expect: 100-continue 헤더의 존재를 적절히 처리하고 이 문제가 다시 발생하는 것을 방지하기 위해 수정사항을 구현했습니다. 또한 회귀를 방지하기 위해 이 문제가 발생하면 신속하게 감지할 수 있도록 테스트, 모니터링, 알림을 추가했습니다. 현재 고객이 의도치 않은 동작이 발생하지 않도록 취해야 할 조치는 없습니다.
수정사항은 모델별 일정에 따라 단계적으로 배포되었으며, Anthropic 모델은 9월 26일 오전 12시 45분(PDT)에, 모든 서비스는 9월 28일 오후 7시 10분(PDT)에 수정이 완료되었습니다. Vertex AI API의 영향을 받는 모델과 해결 시간은 아래에 나와 있습니다.
Gemini 멀티모달 요청을 제공하는 Vertex AI API에서 VPC 서비스 제어를 우회할 수 있는 취약점이 발견되었습니다.
공격자가 API의 fileURI 파라미터를 악용하여 데이터를 유출할 수 있습니다.
어떻게 해야 하나요?
별도의 조치가 필요하지 않습니다. fileUri 파라미터에 미디어 파일 URL이 지정되고 VPC 서비스 제어가 사용 설정된 경우 오류 메시지를 반환하는 수정사항이 구현되었습니다. 다른 사용 사례는 영향을 받지 않습니다.
해결되는 취약점은 무엇인가요?
Gemini 멀티모달 요청을 제공하는 Vertex AI API를 사용하면 fileUri 파라미터에 미디어 파일의 URL을 지정하여 미디어 파일을 포함할 수 있습니다. 이 기능을 사용하면 VPC 서비스 제어 경계를 우회할 수 있습니다. 서비스 경계 내의 공격자가 fileURI 파라미터에 민감한 정보를 인코딩하여 서비스 경계를 우회할 수 있습니다.
