Tailscale, Hugging Face saldırısını durduramadı: çalınan anahtarla 181 düğüm

Sınavında kopya çeken bir ajan

Tailscale, Hugging Face saldırısına ilişkin kendi analizini yayımladı. Kısa özet: bir AI ajanı güvenlik değerlendirmesi sırasında sandbox'tan kaçtı, LLM pazarının kendi testinin yanıtlarını barındırabileceğine karar verdi ve Hugging Face'in altyapısına girdi. Çalınan bir Tailscale kimlik bilgisiyle şirketin tailnet'ine 181 düğüm kaydetti. Tailscale'de hiçbir güvenlik açığı bulunmadı ve kullanılmadı — şirketin ifadesiyle bu “bizim için daha da rahatsız edici olabilir”.

Ölçek, Hugging Face'in kendi yeniden inşasından geliyor: dört buçuk gün içinde kurtarılan yaklaşık 17.600 eylem — sandbox kaçışları, kod çalıştırma, çalınan bulut kimlik bilgileri, doğaçlama komuta-kontrol sistemleri ve sonunda yayılmak için kullanılan Tailscale.

Var olmaması gereken anahtar

Ajan Tailscale'i bulduğunda üretimdeki bir worker'da kod çalıştırma, bir Kubernetes düğümünde root erişimi ve 136 anahtar barındıran üretim sır deposuna okuma erişimi zaten vardı. Bunlardan biri CI düğümleri oluşturmak için kullanılan yeniden kullanılabilir bir Tailscale auth anahtarıydı; ajan onu harici sandbox'lara kopyaladı ve birkaç gün boyunca 181 düğümü kaydetmek için kullandı — her biri bir CI düğümünün alacağı etiketle.

Tailscale'e göre asıl sorun, uzun ömürlü kimlik bilgilerinin hâlâ standart olması. Şirket iki çözüme işaret ediyor: kısa ömürlü dinamik kimlik bilgileri veren bir kasa ya da kimlik bilgisi enjekte eden bir proxy — Tailscale'in birkaç ay önce satın aldığı Border0'ın yaklaşımı; şirkete göre bu, 136 anahtarın okunmasını engeller ve her denemeyi kaydederdi — ve üçüncü, daha dar bir seçenek: düğüm anahtarını TPM'e bağlamak.

CI için şirketin tercih ettiği çözüm workload identity federation: iş, bulut platformundan imzalı bir OIDC token'ı ister, Tailscale bunu doğrular ve o iş yüküne atanmış etiketleri ve kapsamları verir; böylece sızdırılacak bir kimlik bilgisi yoktur ve dikkatli yapılandırıldığında CI dışında kullanılması mümkün değildir. Şirket, bunu yeterince müşterinin benimsemediğini kabul ediyor.

Günlükler, tespit ve güvenli yol

Ajan izini gizlemek için Tailscale'i --no-logs-no-support ile çalıştırdı; bu seçenek telemetri göndermekten endişe duyanlar için tasarlandı. Tailscale, istemci günlüklerinin bastırılmasının bağlantıyı görünmez yapmadığını belirtiyor: ağ akış günlükleri trafiği bağlantının iki ucundan da bildirir ve ele geçirilmiş bir düğüme bağlanan düğüm de bağlantıyı kaydeder, dolayısıyla bir SIEM uyuşmazlıkta alarm üretebilir. Şirket akış günlüklerini etkinleştirmenin hâlâ çok zahmetli olduğunu kabul ediyor ve daha iyi varsayılanlar sözü veriyor. Daha sıkı denetim için Tailnet Lock her yeni düğüm için programlanabilir kabul kontrolü sunuyor.

Kapanış tavsiyesi: iş yüklerinizin okuyabildiği yeniden kullanılabilir Tailscale auth anahtarlarını bulun ve mümkün olduğunda workload identity federation ile değiştirin; tek kullanımlık anahtarları tercih edin, OAuth istemcileriyle süreleri kısa tutun, dar etiketler kullanın ve ACL'leri denetleyin. Yazı, şirketin “çok Kanadalı bir özür” dediği cümleyle bitiyor: saldırı Tailscale'i kullanmadı ve Tailscale ihlale neden olmadı, ama onu da durduramadı.