何が起きたか
2026年11月9日、CISAはCVE-2026-102895（GPUStack、AIモデルを提供するためのオープンソースGPUクラスタマネージャ）を既知の悪用脆弱性カタログに追加しました。連邦政府による修正期限は2026年11月12日で、BOD 26-04に基づくフォレンジックトリアージフラグが付されています。2026年11月10日、Cloud Security Alliance AI Safety Initiativeは、この欠陥とそのAIインフラストラクチャへの影響を分析する調査ノートを公開しました。CVSS 9.8のこの脆弱性により、ループバックから発信されたように見えるあらゆるリクエスト（同一ホスト上のリバースプロキシ経由、または偽装されたX-GPUStack-Real-IPヘッダーによる）が、組み込み管理者として扱われます。攻撃者はAPIキーを発行し、ワーカー/クラウド資格情報を読み取り、悪意のある推論バックエンドを登録してGPUワーカー上でコード実行を行うことができます - 実際の攻撃ではリバースシェルを起動するために使用されています。このノートは、少なくとも2.2.0（できれば2.2.2、CVE-2026-102894も修正）へのアップグレードを推奨し、2.2.0未満の公開インスタンスを侵害されたものとして扱うよう助言しています。パッチ適用では攻撃者が作成したユーザー/キーを排除したり、侵害されたホストをクリーンアップしたりしないためです。また、ネットワーク位置からIDを導出するという根本的な設計パターンも強調しています。
なぜ重要か
AIモデル提供コントロールプレーン（GPUStack、Ray、LiteLLM）は、CISA KEVリストの主要ターゲットとして収束しています。コントロールプレーンの侵害は、攻撃者にすべてのGPUワーカー、その資格情報、および推論バックエンドを渡すことになります。このノートは、プライベートAI推論オペレーター向けに具体的で時間的に重要なガイダンスを提供し、AIプラットフォーム認証に広く適用される設計上のセキュリティ欠陥（ネットワーク位置をIDとして扱う）を一般化しています。
必要な対応
即座にGPUStackを>=2.2.2にパッチ適用し、2.2.0未満の公開インスタンスで全ワーカーおよびクラウドプロバイダーの資格情報をローテーションし、侵害されたものとして扱ってください。また、ネットワーク位置/ループバックからIDを導出するAIプラットフォーム、特に同一ホスト上のリバースプロキシが前面にあるものをレビューしてください。