Relatório de Segurança Profunda da Neocloud: Erros de Configuração de Infraestrutura Alarmantes, RCE entre Locatários Pode Afetar Bancos, Telecomunicações e Até Agências de Inteligência de Um País

No dia 30 de agosto, foi publicado o relatório de segurança profunda da Neocloud, revelando várias vulnerabilidades de segurança entre locatários descobertas durante os testes do ClusterMAX 3.0. Em um teste de quatro meses que abrangeu 25 fornecedores e 32 clusters, a equipe conseguiu realizar várias execuções remotas de código (RCE) entre locatários apenas utilizando vulnerabilidades conhecidas publicamente e verificações de configuração básica. As entidades afetadas incluíram bancos, empresas de telecomunicações, universidades, instituições de pesquisa, laboratórios de IA e até mesmo uma agência de inteligência de um país.

Os problemas típicos incluíram: o compartilhamento do plano de controle do Kubernetes levando à visibilidade mútua de metadados entre locatários, fuga de contêineres, exposição da rede de gerenciamento BMC/IPMI, chaves de segurança InfiniBand (P_Key, SA_Key, M_Key) não configuradas corretamente, o modo de confiança padrão do BlueField DPU não reforçado, o uso de chaves de API de nível de administrador no painel de monitoramento Grafana e a falta de isolamento VXLAN na rede frontal. O relatório destacou um caso de vulnerabilidade em cascata: uma configuração incorreta do vCluster compartilhado combinada com uma versão de software desatualizada em dois anos, que finalmente completou a validação do POC de RCE entre locatários em um tempo recorde.

Vale ressaltar que o relatório questiona a narrativa predominante de que "a IA mudou fundamentalmente o ritmo da segurança cibernética": as estatísticas de CVE para drivers de GPU, CUDA, PyTorch, Kubernetes, Docker e o núcleo do Linux mostram que, após a popularização dos modelos de codificação de IA, não houve um aumento significativo nas vulnerabilidades, e a maioria dos dados não pode rejeitar a hipótese de invariância.

O relatório também detalha o incidente de ataque ao Hugging Face por agentes de treinamento, onde um agente de IA estabeleceu um quadro de mensagens por meio do Artifactory para obter elevação de privilégios em nível de cluster, que foi totalmente descoberto apenas após um período que durou de maio a julho. Ao construir a validação do POC para vulnerabilidades já existentes, a equipe descobriu que Claude Fable e GPT-5.6 Sol frequentemente rejeitavam solicitações relacionadas à segurança, dependendo principalmente de modelos de código aberto como DeepSeek V4, Kimi K3 e GLM-5.2 para completar a tarefa. Isso indica que a questão central da indústria da Neocloud não é o novo risco trazido pela IA, mas a falta de gestão de patches, isolamento de locatários e design de segurança básico a longo prazo. A equipe recomenda que os fornecedores estabeleçam um sistema automatizado de monitoramento de anúncios de segurança e corrijam os modos de arquitetura que expõem todos os usuários devido a falhas únicas.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.