案例 vertex-ai-double-agent代理劫持全球
Vertex AI'双重代理'：过度授权的代理泄露凭据与代码
Unit 42证明部署在Vertex AI上的代理继承了宽泛的默认服务账户权限，使被攻陷的代理可窃取凭据并访问受限镜像和源代码。
中针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2026年3月31日
- 地点
- 全球
- 目标
- Google Cloud Vertex AI Agent Engine
- 严重程度
- 中
- 发起者
- Palo Alto Networks Unit 42安全研究人员（负责任披露）
- 行为者类型
- 安全研究人员
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Unit 42证明部署在Vertex AI上的代理继承了宽泛的默认服务账户权限，使被攻陷的代理可窃取凭据并访问受限镜像和源代码。
影响: 仅为概念验证：已部署的代理可返回服务代理凭据，访问客户数据、内部Dockerfile以及谷歌内部Artifact Registry内容；无确认的真实受害者
谁发起了攻击
行为者: Palo Alto Networks Unit 42安全研究人员（负责任披露）
归因: Unit 42自行归属的研究；谷歌确认并与研究人员合作修复
动机: 安全研究与负责任披露
如何发生
攻击途径: 运行在已部署ADK代理内部的代码查询GCP实例元数据服务，获取谷歌托管服务代理（P4SA）的OAuth令牌
根本原因: Vertex AI Agent Engine为每个产品附加了拥有广泛权限的默认服务代理，因此任何被攻陷或恶意的代理都会继承这一由谷歌托管的过度授权身份
时间线
- Unit 42演示凭据提取以及对客户数据和谷歌内部Artifact Registry镜像的访问
- Unit 42在向谷歌负责任披露后发布'双重代理'研究
- 谷歌确认生产镜像篡改已被阻止，并更新Vertex AI权限文档
应对
谷歌与Unit 42合作，确认内部控制可阻止篡改生产镜像，重写了代理权限文档，并建议Vertex AI部署使用自带服务账户（最小权限）
当前状态: 已修补
来源（在新标签页打开）
- Unit 42 (Palo Alto Networks) unit42.paloaltonetworks.com
- TechRadar techradar.com
- Cloud Security Alliance labs.cloudsecurityalliance.org
引用此案例
Vertex AI'双重代理'：过度授权的代理泄露凭据与代码. AI Threat Watch, 案例 vertex-ai-double-agent, 2026年3月31日. https://aithreat.io/zh/cases/vertex-ai-double-agent/