Vulnerabilidades em IA expõem motores da Meta e Nvidia
Vulnerabilidades em IA críticas permitem que invasores executem código remoto em populares motores de inferência usados por Meta, Nvidia, Microsoft e projetos open-source, segundo relatório da Oligo Security.
Como a falha acontece
Oligo rastreou todas as brechas a um mesmo ponto frágil: o padrão batizado de “ShadowMQ”. Nele, desenvolvedores reutilizaram o método recv_pyobj() da biblioteca ZeroMQ, que desserializa dados com o módulo pickle do Python sem qualquer autenticação. Quando o socket ZeroMQ fica exposto na rede, basta um pacote malicioso para que o atacante ganhe execução arbitrária na máquina alvo.
A vulnerabilidade original (CVE-2024-50050) surgiu no framework Llama, da Meta, e foi corrigida em outubro passado. No entanto, o mesmo código inseguro acabou copiado para outros projetos, perpetuando o risco.
Frameworks afetados e status dos patches
Entre os motores comprometidos estão:
- CVE-2025-30165 – vLLM (score 8.0): mitigado ao trocar para o engine V1 por padrão;
- CVE-2025-23254 – NVIDIA TensorRT-LLM (score 8.8): corrigido na versão 0.18.2;
- CVE-2025-60455 – Modular Max Server: já corrigido;
- Sarathi-Serve, da Microsoft: ainda sem patch;
- SGLang: correções parciais.
Segundo Avi Lumelsky, pesquisador da Oligo, “diferentes empresas cometeram o mesmo erro ao reutilizar o código”. Uma vez dentro de um nó de inferência, o invasor pode roubar modelos proprietários, escalar privilégios e até instalar mineradores de criptomoeda em todo o cluster.
Imagem: Internet
Especialistas recomendam atualizar imediatamente para as versões corrigidas, adotar sockets autenticados e evitar pickle em ambientes de produção.
Detalhes técnicos adicionais podem ser conferidos no relatório publicado pelo The Hacker News, que destaca a rapidez com que falhas se espalham quando componentes são copiados sem revisão de segurança.
Manter bibliotecas atualizadas, revisar dependências e aplicar autenticação em canais de comunicação são passos essenciais para blindar seu ambiente de IA. Para mais conteúdos sobre Segurança, Hardware e como proteger seu setup, visite nossa página inicial e continue acompanhando.
Crédito da imagem: The Hacker News Fonte: The Hacker News
