Falhas críticas de segurança detetadas em frameworks de IA

Investigadores de cibersegurança estão a alertar para a descoberta de vulnerabilidades críticas de execução remota de código que afetam importantes mecanismos de Inteligência Artificial (IA), incluindo frameworks de inferência de grandes empresas como a Meta, Nvidia, Microsoft, bem como projetos open source.

“Todas as vulnerabilidades foram apresentadas até à mesma causa raiz: o uso inseguro e negligenciado do ZeroMQ e da desserialização pickle do Python”, refere Avi Lumelsky, investigador da Oligo Security, num relatório publicado na quinta-feira.

O problema central foi descrito como um padrão denominado ShadowMQ, onde a lógica de desserialização insegura se propagou a vários projetos devido à reutilização de código.

A origem da falha remonta a uma vulnerabilidade na framework do Llama Large Language Model (LLM) da Meta, identificada como CVE-2024-50050 e corrigida pela empresa em outubro do ano passado. Especificamente, a falha envolvia a utilização insegura do método ‘recvpyjob()’ do ZeroMQ para desserializar os dados recebidos usando o módulo ‘pickle’ do Python.

Uma vez que a framework expunha o socket ZeroMQ na rede, um atacante poderia executar código arbitrário enviando dados maliciosos para desserialização.

A Oligo Security descobriu que o mesmo padrão inseguro se repetiu em várias outras frameworks de inferência, nomeadamente: Nvidia TensorRT-LLM, Microsoft Sarathi-Serve, Modular Max Server, vLLM e SGLang.

“Todos continham padrões inseguros quase idênticos: desserialização com pickle em sockets TCP do ZeroMQ não autenticados. Diferentes mantedores e projetos mantidos por diferentes empresas – todos cometeram o mesmo erro”, salienta Avi Lumelsky.

Os problemas receberam os seguintes identificadores: CVE-2025-30165 – vLLM, ainda não corrigido; CVE-2025-23254 – Nvidia TensorRT-LLM, que foi corrigido na versão 0.18.2; CVE-2025-60455 – Modular Max Server, que já se encontra corrigida.

Considerando que os mecanismos de inferência são cruciais nas infraestruturas de IA, a invasão bem-sucedida de um único nó pode permitir que um atacante execute código arbitrário no cluster, roube modelos e instale payloads maliciosos.

Em paralelo, um novo relatório da plataforma de segurança de IA Knostic revelou vulnerabilidades no browser integrado do Cursor. Foi demonstrado ser possível comprometer o browser integrado através de técnicas de injeção de JavaScript. O relatório também indicou que é possível criar uma extensão maliciosa para injetar JavaScript no IDE em execução, permitindo a um atacante realizar ações arbitrárias, como marcar extensões inofensivas como “maliciosas”.