事件经过
2026年11月9日，CISA将CVE-2026-102895（GPUStack，一个用于服务AI模型的开源GPU集群管理器）加入其已知被利用漏洞目录，联邦修复截止日期为2026年11月12日，并根据BOD 26-04标记为需进行取证分类。2026年11月10日，云安全联盟AI安全倡议发布了一份研究笔记，分析了该漏洞及其对AI基础设施的影响。这个CVSS 9.8漏洞允许任何看似来自回环地址的请求（通过同主机反向代理或伪造的X-GPUStack-Real-IP头）被当作内置管理员处理；攻击者可生成API密钥、读取工作节点/云凭证，并注册恶意推理后端，从而在GPU工作节点上实现代码执行——该漏洞已被野外利用来启动反向Shell。该笔记建议至少升级到2.2.0（最好是2.2.2，该版本同时修复了CVE-2026-102894），并将任何暴露的2.2.0之前版本实例视为已失陷，因为修补不会清除攻击者创建的用户/密钥，也不会清理已失陷主机；它同时强调了从网络位置推导身份这一底层设计模式。
影响分析
AI模型服务控制平面（GPUStack、Ray、LiteLLM）正不断进入CISA KEV列表，成为重点目标。控制平面失陷会让攻击者获取每个GPU工作节点、其凭证及推理后端。该笔记为私有AI推理运营者提供了具体、时间紧迫的指导，并归纳了一个普遍适用于AI平台认证的安全设计缺陷（将网络位置视为身份）。
建议行动
立即将GPUStack修补至>=2.2.2，在任何暴露的2.2.0之前版本实例上轮换所有工作节点和云提供商凭证，并视其为已失陷；同时审查任何基于网络位置/回环地址推导身份的AI平台，尤其是前面有同主机反向代理的情况。