🇰🇷 한글 설명
VPC-SC를 사용하는 고객의 Vertex Gemini API에서 보안 문제가 발견되었습니다. 특수하게 제작된 파일 URI를 이미지 입력으로 사용하면 요청이 VPC-SC 보안 경계 외부로 라우팅되어 데이터 유출이 발생할 수 있습니다.
💡 쉬운 설명
보안 울타리(VPC-SC) 안에 데이터를 가두어 두었음에도 불구하고, 특정 이미지 주소를 이용해 데이터를 울타리 밖으로 몰래 빼돌릴 수 있는 취약점입니다. 구글은 이를 막기 위해 보안 설정이 켜져 있을 때 외부 파일 주소를 사용하면 오류를 발생시키도록 수정했습니다.
🇺🇸 원문 (English)
A security issue exists in Vertex Gemini API for customers using VPC-SC. By utilizing a custom crafted file URI for image input, data exfiltration is possible due to requests being routed outside the VPC-SC security perimeter, circumventing the intended security restrictions of VPC-SC.
No further fix actions are needed. Google Cloud Platform implemented a fix to return an error message when a media file URL is specified in the fileUri parameter and VPC Service Controls is enabled. Other use cases are unaffected.
📍 영향받는 시스템
Google Cloud Platform Vertex Gemini API (VPC Service Controls 사용 고객)
⚔️ 공격 벡터
조작된 파일 URI를 이미지 입력값으로 전달하여 보안 경계를 우회하는 데이터 유출 공격
🛡️ 대응 방법
Google Cloud Platform에서 이미 패치를 적용하였으므로 별도의 조치 불필요 (VPC-SC 활성화 상태 확인)
🔧 검증 코드
Vertex AI API가 활성화되어 있는지 확인하고, 구글의 최신 보안 정책이 적용된 환경인지 클라우드 콘솔에서 확인합니다.
gcloud services list --enabled | grep vertexai