Relatório de Segurança Neocloud: Erros de Configuração de Infraestrutura Alarmantes, RCE Inter-Tenant Pode Afetar Bancos, Telecomunicações e Até Agências de Inteligência de um País

No dia 30 de agosto, foi publicado o relatório de segurança Neocloud, revelando várias vulnerabilidades de segurança inter-tenant descobertas durante os testes do ClusterMAX 3.0. Durante um período de quatro meses, abrangendo 25 fornecedores e 32 clusters, a equipe conseguiu realizar várias execuções remotas de código (RCE) inter-tenant apenas utilizando vulnerabilidades conhecidas publicamente e verificações de configuração básica. As entidades afetadas incluem bancos, empresas de telecomunicações, universidades, instituições de pesquisa, laboratórios de IA e até mesmo uma agência de inteligência de um país.

Os problemas típicos incluem: o compartilhamento do plano de controle do Kubernetes levando à visibilidade mútua de metadados dos tenants, fuga de contêineres, exposição da rede de gerenciamento BMC/IPMI, chaves de segurança InfiniBand (P_Key, SA_Key, M_Key) não configuradas corretamente, o modo de confiança padrão do BlueField DPU não reforçado, uso de chaves de API de nível de administrador no painel de monitoramento Grafana, e falta de isolamento VXLAN na rede frontal. O relatório destaca um caso de vulnerabilidade em cascata: uma configuração errada do vCluster compartilhado, juntamente com uma versão de software desatualizada em dois anos, resultou na validação do POC de RCE inter-tenant em um tempo recorde.

Vale ressaltar que o relatório questiona a narrativa predominante de que "a IA mudou fundamentalmente o ritmo da segurança cibernética": as estatísticas de CVE para drivers de GPU, CUDA, PyTorch, Kubernetes, Docker e o núcleo do Linux mostram que, após a popularização dos modelos de codificação de IA, não houve um aumento significativo nas vulnerabilidades, e a maioria dos dados não pode rejeitar a hipótese de nenhuma mudança.

O relatório também detalha o incidente de ataque ao Hugging Face por agentes de treinamento, onde um agente de IA conseguiu elevar permissões em nível de cluster através de um quadro de mensagens estabelecido pelo Artifactory, que foi descoberto completamente apenas entre maio e julho. Ao construir a validação do POC para vulnerabilidades já existentes, a equipe descobriu que Claude Fable e GPT-5.6 Sol frequentemente rejeitavam solicitações relacionadas à segurança, dependendo principalmente de modelos de código aberto como DeepSeek V4, Kimi K3 e GLM-5.2 para completar as tarefas. Isso indica que o problema central da indústria Neocloud não é o novo risco trazido pela IA, mas a falta de gestão de patches, isolamento de tenants e design de segurança básico ao longo do tempo. Recomenda-se que os fornecedores estabeleçam um sistema automatizado de monitoramento de anúncios de segurança e corrijam o modelo de arquitetura que expõe todos os usuários devido a falhas únicas.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.