SecTor 2025 | The Good, the Bad, and the Ugly: Hacking 3 Cloud Providers with 1 Vulnerability

Wiz 安全研究員 Nir Ohfeld 與 Ilan Ben Sasson 在 Black Hat 上發表了這場研究，主題是他們如何用一個 NVIDIA Container Toolkit 的容器逃逸漏洞，系統性地測試多家 AI 雲端供應商的安全縱深，並以三個截然不同的結果說明：決定損害大小的關鍵不是漏洞本身，而是各家服務的安全架構設計。

NVIDIA Container Toolkit 是幾乎所有 AI 雲服務的共同元件，它讓 Docker 容器得以存取 NVIDIA GPU。研究人員發現，這個工具套件在容器完全初始化之前就執行掛載操作，而掛載的源與目標都由攻擊者控制的容器映像決定。透過在 Dockerfile 中製造指向主機根目錄的符號連結，攻擊者可將整個主機檔案系統掛載進容器，再透過 Docker Unix Socket 建立新的特權容器共享主機命名空間，完成從容器到主機的完整逃逸。這個漏洞之所以普遍，是因為凡是需要 GPU 的 AI 工作負載幾乎都依賴它。

第一個案例是 Azure Container Instances。研究團隊成功逃逸至底層主機，並從主機上找到 Kubernetes 憑證，進而繞過網路限制連上 Kubernetes API；他們甚至透過嗅探節點流量，攔截到 Azure 門戶操作觸發的更高權限 Kubernetes Token。然而，當他們試圖使用這個強力 Token 列舉其他租戶的節點時，發現自己其實是在跟一個以 .NET 寫成的虛擬 Kubernetes API 伺服器溝通，而非真正的 Kubernetes API。這個虛擬層會過濾所有跨租戶請求，即使是授權的查詢，返回的資源也只限於自身租戶。研究人員嘗試掃描內網尋找真實 API 伺服器、尋找日誌代理漏洞等各種繞過方式，全數失敗。Azure 的縱深防禦在第二道障礙有效攔截了攻擊。

第二個案例 Replicate 則揭示了共享基礎設施的風險。Replicate 允許用戶上傳 Cog 格式（本質是 Docker 容器）的 AI 模型，研究人員將惡意容器偽裝成 AI 模型，使其如遠端 Shell 般運作並植入漏洞利用程式碼。逃逸至底層節點後，他們在 procfs 中發現一個 Redis 進程，命令列參數中清楚地帶著密碼。這個 Redis 實例正是 Replicate 的共享任務佇列，連接所有平台上的 AI 模型——包括字節跳動、Salesforce、OpenAI 等知名企業的模型。取得 Redis 控制權意味著可以讀取或即時竄改平台上所有用戶的提示與預測，無論是公開還是私有模型。不過，Replicate 的藍隊及時偵測到異常活動，帳號被暫停，安全團隊主動聯繫確認是否為合法研究。研究人員評價其偵測能力相當出色。

第三個案例 DigitalOcean Paperspace 則造成了最嚴重的影響。逃逸至底層 Kubernetes 節點後，研究人員取得了節點層級的 Kubernetes 憑證——其權限遠超用戶 pod 所能擁有的。使用這組憑證執行 `kubectl get nodes`，回傳超過 700 個節點，確認這是一個龐大的多租戶共享叢集。透過自建的備用帳號測試，他們確認可以存取任意客戶 pod 中的所有內容：模型、源碼、資料集、環境變數，乃至用於拉取私有容器映像的 Image Pull Secrets。這些 Secrets 中儲存著客戶在 Azure、AWS、GCP、GitHub 等平台上的雲端憑證，攻擊者因此得以從 DigitalOcean 橫向滲透至客戶的其他雲端環境，大幅擴大攻擊範圍。

研究人員在結論中指出三點核心教訓：容器不應是不同隔離環境之間唯一的安全屏障；真正需要強隔離的場景（如不同租戶之間）應同時部署計算、網路、身份驗證、授權等多層防護；以及適當的安全態勢確實能讓環境在面對零日漏洞時具備韌性。他們也預告了在同一 NVIDIA Container Toolkit 程式庫中發現的第二個更嚴重漏洞，僅需 3 行程式碼即可完成攻擊，說明此攻擊路徑並非偶發事件，而是雲端容器運行時層面持續存在的結構性風險。