Vertex AI – Abuso de Configuraciones Predeterminadas (CVE-2023-43654 en actividad reciente)

Nombres Alternativos / Aliases

Vertex AI Default Misconfiguration Abuse Campaign
Google Vertex AI Privilege Escalation Campaign
Vertex AI Service Agent Hijacking
Ray on Vertex AI Viewer-to-Root Abuse
TorchServe Management API Exposure Abuse

Fecha de Detección / Actividad

Fecha de Detección: Enero 2026
Período de Actividad Observado: Actividad reciente y activa en entornos cloud
Fuente de Divulgación: Investigación de XM Cyber (enero 2026)
Estado: Activa (abuso de configuraciones por defecto, no explotación de zero-day)

Actor de Amenaza (Atribución)

Atribución: No atribuida formalmente
Tipo de Actor:
- Atacantes cloud-native
- Threat actors con acceso inicial válido (low-privileged users)
Motivación:
- Escalamiento de privilegios
- Acceso a datos sensibles (LLM, GCS, BigQuery)
- Persistencia y abuso de identidades cloud
Nivel de Sofisticación: Medio–Alto
Región de Operación: No específica (impacto global en proyectos GCP mal configurados)

Resumen Ejecutivo

Esta campaña documenta el abuso activo de configuraciones predeterminadas en Google Vertex AI, donde usuarios con permisos mínimos pueden escalar privilegios y secuestrar agentes de servicio con permisos amplios.

Aunque CVE-2023-43654 y GCP-2023-029 fueron divulgadas en 2023 y cuentan con mitigaciones oficiales, investigaciones recientes confirman que estos vectores siguen siendo utilizados en 2026 como parte de cadenas de ataque modernas, especialmente cuando se combinan con roles IAM excesivamente permisivos y servicios administrativos expuestos.

Los ataques observados no dependen de vulnerabilidades nuevas, sino de suposiciones inseguras sobre valores por defecto, permitiendo escenarios de:

Ejecución remota de código (RCE)
Robo de tokens desde metadatos
Acceso no autorizado a Cloud Storage y BigQuery
Acceso root a nodos de Ray en Vertex AI

Vectores de Ataque

Abuso de Roles IAM de Solo Lectura
Delegación Confusa de Agentes de Servicio
Exposición de APIs Administrativas
Configuraciones predeterminadas inseguras
Acceso a Metadata Server desde workloads
Uso indebido de Ray Interactive Shell
API Management de TorchServe expuesta

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción
Acceso Inicial (TA0001)	Valid Accounts (T1078)	Uso de credenciales legítimas con permisos mínimos
Ejecución (TA0002)	Command Execution (T1059)	Ejecución de código vía herramientas inyectadas o shell interactivo
Escalamiento de Privilegios (TA0004)	Abuse of Cloud Service Roles (T1068)	Secuestro de agentes de servicio
Acceso a Credenciales (TA0006)	Cloud Instance Metadata API (T1552.005)	Robo de tokens desde metadata
Descubrimiento (TA0007)	Cloud Service Discovery (T1087)	Enumeración de recursos persistentes y motores
Movimiento Lateral (TA0008)	Cloud Resource Access (T1021)	Acceso a GCS y BigQuery
Impacto (TA0040)	Data Access (T1530)	Lectura y escritura de datos sensibles

Flujo de Ataque (Kill Chain)

1. Acceso Inicial

El atacante obtiene acceso legítimo con permisos mínimos como:

aiplatform.persistentResources.list
aiplatform.reasoningEngines.update

2. Descubrimiento

Enumeración de:

Motores de razonamiento
Clústeres Ray
Recursos persistentes

3. Explotación Lógica

Inyección de herramientas maliciosas en Agent Engine
Acceso al shell root en Ray on Vertex AI
Acceso a APIs administrativas de TorchServe

4. Escalamiento de Privilegios

Robo del token del agente de servicio desde metadata server

5. Acciones en Objetivo

Acceso a GCS (lectura/escritura)
Acceso a BigQuery
Lectura de memorias y chats LLM
Persistencia mediante credenciales cloud

Infraestructura Utilizada

Tipo	Características	Propósito
Vertex AI Agent Engine	Contenedores gestionados	Ejecución de herramientas
Ray on Vertex AI	Clúster escalable	Acceso root al nodo master
TorchServe	API de gestión expuesta	Carga de modelos y RCE
Metadata Server	Tokens de servicio	Escalamiento IAM
GCS / BigQuery	Recursos cloud	Exfiltración y persistencia

Objetivos y Sectores Atacados

Objetivo Principal: Proyectos GCP con Vertex AI mal configurado
Sectores Impactados:
- Tecnología
- Finanzas
- Investigación
- IA / Machine Learning
Tipo de Organización: Empresas que adoptan Vertex AI sin hardening adicional

Impacto y Riesgo

Nivel de Riesgo: Alto
Impacto Potencial:
- Compromiso total del entorno Vertex AI
- Acceso a datos sensibles y modelos
- Persistencia cloud a largo plazo
- Abuso financiero de recursos
Carácter de la Amenaza:
- No depende de zero-days
- Difícil de detectar si no se auditan roles y metadata

Recomendaciones de Mitigación

Revocar permisos innecesarios a agentes de servicio
Implementar roles IAM personalizados
Restringir acceso a metadata server
Deshabilitar Ray interactive shell
Validar y auditar código de herramientas en Agent Engine
Asegurar que:
- management_address = 127.0.0.1
- allowed_urls esté explícitamente configurado
Actualizar TorchServe a ≥ 0.8.2
Monitorear eventos de acceso a metadata

Herramientas de Detección

Google Security Command Center
Agent Engine Threat Detection
Cloud Audit Logs (IAM + AI Platform)
SIEM con reglas personalizadas
Scripts de auditoría IAM (read-only)
Monitoreo de acceso a metadata server

Referencias y Fuentes

XM Cyber – Vertex AI Privilege Escalation Research (2026)
CVE-2023-43654 – TorchServe
GCP-2023-029 – Google Advisory
TorchServe 0.8.2 Release Notes
MITRE ATT&CK Framework
Documentación oficial de Vertex AI

Historial de Revisiones

Fecha	Versión	Autor	Cambios
2026-01-17	1.0	Fernando Vargas	Creación inicial de campaña

Indicadores de Compromiso (IOC)

APIs administrativas accesibles externamente
Acceso no esperado a metadata server
Uso de open-ray-cluster por usuarios Viewer
Tokens de agentes usados fuera de contexto
Accesos anómalos a GCS / BigQuery desde Vertex AI

Etiquetas / Categorías

vertex-ai gcp cloud-security privilege-escalation misconfiguration torchserve ray mitre-attack service-account abuse cve-2023-43654 gcp-2023-029 cloud-iam ai-security