«Двойной агент» в Vertex AI: агенты с избыточными привилегиями раскрывают учётные данные и код

Кто стоит за инцидентом

Субъект: Исследователи безопасности Palo Alto Networks Unit 42 (ответственное раскрытие)

Атрибуция: Собственное исследование Unit 42; Google подтвердила проблему и работала с исследователями над исправлением

Мотив: Исследование безопасности и ответственное раскрытие

Как это произошло

Вектор атаки: Код, выполняемый внутри развёрнутого ADK-агента, обращался к сервису метаданных инстанса GCP для получения OAuth-токена управляемого Google сервисного агента (P4SA)

Первопричина: Vertex AI Agent Engine подключал сервисный агент продукта по умолчанию с широкими разрешениями, поэтому любой скомпрометированный или вредоносный агент наследовал избыточно привилегированную управляемую Google идентичность

Хронология

1. мар. 2026Unit 42 демонстрирует извлечение учётных данных и доступ к данным клиентов и внутренним образам Artifact Registry Google
2. 31 мар. 2026Unit 42 публикует исследование Double Agents после ответственного раскрытия Google
3. 1 апр. 2026Google подтверждает, что вмешательство в производственные образы было заблокировано, и обновляет документацию по разрешениям Vertex AI

Реагирование

Google работала с Unit 42, подтвердила, что внутренние контроли блокируют вмешательство в производственные образы, переписала документацию по разрешениям агентов и рекомендует Bring Your Own Service Account (минимальные привилегии) для развёртываний Vertex AI

Текущий статус: Исправлен