人工智能 (AI)
周三，NVIDIA 发布了更新以修复其 NVIDIA 容器工具包中的一个严重漏洞，该漏洞如果被利用，可能会使广泛的人工智能基础设施和底层数据/秘密面临风险。
周三，NVIDIA 发布了更新以修复其 NVIDIA Container Toolkit 中的一个关键漏洞，如果被利用，可能会导致广泛的人工智能基础设施和底层数据/秘密面临风险。CVSS v3.1 评级为 9.0，该缺陷应立即修复。但对于无法这样做的组织，Trend Vision One 将提供主动保护，防止试图利用它的攻击。</p>
NVIDIA Container Toolkit 允许用户构建和部署运行 GPU 加速容器，是许多 AI 系统的首选部署目标。CVE-2024-0132 影响工具包 v1.16.1 之前的所有版本。它被描述为使用默认配置时的检查时间使用时间 (TOCTOU) 漏洞，可能导致代码执行、拒绝服务、权限升级、信息泄露和数据篡改。但是，它不会影响容器设备接口 (CDI) 指定对底层设备（例如 NVIDIA GPU）的访问的用例。
根据发现该漏洞的研究人员的说法，该漏洞使威胁行为者能够控制通过易受攻击的 NVIDIA Container Toolkit 运行的任何容器映像来执行容器逃逸，并以完全 root 权限劫持底层主机系统。在共享环境中，如果具有完全 root 权限，完整性就会被破坏，而且作为副作用，机密性也会被破坏。基本上，任何运行受影响工具包的 AI 应用程序都会受到影响。研究人员估计，三分之一 (33%) 的云环境受到 CVE-2024-0132 的影响。
攻击如下所示：
>首先，始终建议用户在可用时应用供应商特定的补丁。在这种情况下，NVIDIA针对该漏洞发布了以下补丁，强烈建议客户尽快更新：
但是，由于多种原因，快速修补并不总是可行。Trend Vision One Container Security 客户可以使用这一主动技术来发现容器映像中的漏洞、恶意软件和合规违规行为。可以扫描 CVE-2024-0132，并且也将反映在 Trend Vision One 攻击面风险管理 (ASRM) 中。
攻击者可以利用 CVE-2024-0132 的漏洞创建恶意映像在将映像推送到生产环境之前帮助检测管道上的此漏洞。这样，如果检测到漏洞，容器安全性（准入控制策略执行）可以阻止在生产环境中部署的容器映像。我们还可以帮助在运行时检测此漏洞，确保客户在整个环境中全面了解此安全问题。
这只是最新的示例趋势科技致力于帮助客户在快速增长的人工智能攻击面中主动管理网络风险：
有关更多信息，请访问趋势知识库。
此博客将随着信息的发展不断更新。