🇰🇷 한글 설명
TrustyAI Service Operator에서 특정 보안 설정이 활성화되지 않을 경우, gorch 또는 NemoGuardrails와 같은 서비스의 통신 채널이 인증 없이 노출되는 결함이 발견되었습니다. 이를 통해 클러스터 내의 다른 프로그램이 적절한 권한 없이 AI 가드레일 및 오케스트레이터에 접근할 수 있으며, 민감한 정보 탈취나 AI 모델의 제한적인 변경이 가능합니다.
💡 쉬운 설명
AI를 보호하는 보안 장치가 문을 열어둔 채로 방치되어 있어, 같은 네트워크에 있는 누구나 허락 없이 AI 시스템에 들어올 수 있는 상태입니다. 공격자는 이를 통해 중요한 정보를 훔치거나 AI의 동작을 몰래 바꿀 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the TrustyAI Service Operator. When deploying services like gorch or NemoGuardrails, if a specific security setting is not enabled, these services can expose their communication channels without requiring users to prove their identity. This allows any other program within the cluster to access the AI guardrails and orchestrator without proper authorization. An attacker could exploit this to gain unauthorized access to sensitive information and potentially make limited changes to the AI models.
📍 영향받는 시스템
TrustyAI Service Operator (gorch 또는 NemoGuardrails 배포 환경)
⚔️ 공격 벡터
클러스터 내부 네트워크를 통한 인증 없는 통신 채널 접근
🛡️ 대응 방법
TrustyAI Service Operator의 특정 보안 설정을 활성화하여 인증 메커니즘 적용
🔧 검증 코드
명령어 결과에 해당 서비스가 실행 중이라면, 설정 파일에서 보안 옵션이 활성화되어 있는지 반드시 확인해야 합니다.
kubectl get deployment -n trusty-ai-namespace | grep -E 'gorch|nemoguardrails'
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
💻 영향받는 소프트웨어
Cisco Network Services Orchestrator