Un bucket predefinito basta per dirottare Vertex AI
Il punto debole non è il modello in sé, ma la fiducia riposta nel bucket “di default”: se il nome è prevedibile e nessuno verifica chi lo possiede, un progetto Google Cloud separato può intercettare il percorso di upload e sostituire l’artefatto prima del rilascio. In pratica, una comodità lato SDK trasforma un flusso di model upload in una superficie di attacco tra tenant, con esecuzione di codice dentro l’infrastruttura di serving di Vertex AI.
Unit 42 ha documentato CVE-2026-2473 nel Vertex AI Python SDK di Google Cloud. La falla colpiva le versioni 1.139.0 e 1.140.0 e Google l’ha corretta in v1.148.0, rilasciata il 15 aprile 2026; il vettore nasce da un nome di staging bucket deterministico basato su project ID e region, controllato per l’esistenza ma non per la proprietà.
Per chi usa questi workflow, la lezione è che il confine di fiducia è il proprietario del bucket, non l’applicazione che lo nomina. Se il canale di upload si appoggia a default prevedibili, il rischio non si ferma alla sostituzione del modello: si estende ai token e alle risorse del tenant che lo esegue.