Last Updated on 2024-06-25 09:12 by admin
Intelは、AIモデル圧縮ソフトウェアであるIntel Neural Compressorの一部のバージョンに最大深刻度の脆弱性が存在することを公表した。この脆弱性はCVE-2024-22476として指定され、認証されていない攻撃者が影響を受けるバージョンのソフトウェアを実行しているIntelシステム上で任意のコードを実行する方法を提供する。この問題は、不適切な入力検証、つまりユーザー入力を適切にサニタイズしないことに起因する。Intelは、この脆弱性に最大スコアの10をCVSSスケールで与えており、遠隔から低い複雑さで利用可能であり、データの機密性、完全性、および可用性に高い影響を与えるためである。攻撃者は特別な権限を必要とせず、ユーザーの操作も不要である。この脆弱性はIntel Neural Compressorのバージョン2.5.0より前に影響を与え、Intelはバージョン2.5.0以降にアップグレードすることを推奨している。
Intel Neural Compressorは、コンピュータビジョン、自然言語処理、推薦システムなどのタスクにおいて、深層学習モデルを圧縮および最適化するためのオープンソースPythonライブラリである。圧縮技術には、最も重要でないパラメータを削除するニューラルネットワークのプルーニング、プロセスコール量子化によるメモリ要件の削減、および同様の性能を持つより小さなモデルへの大きなモデルの蒸留が含まれる。AIモデル圧縮技術の目標は、モバイルデバイスなどの計算能力が限られているまたは制約されているハードウェアデバイス上でAIアプリケーションを展開できるようにすることである。
さらに、Intelはこの週に41のセキュリティアドバイザリのセットで公開した数十の欠陥の中で最も深刻なものとして、Intel Neural Compressorソフトウェアのもう1つの脆弱性CVE-2024-21792も公開し、修正をリリースした。これは情報開示につながる可能性のある時点検査時点使用（TOCTOU）の欠陥であり、攻撃者が脆弱なシステムに対してローカルで認証されたアクセスを既に持っている必要があるため、中程度のリスクを提示すると評価されている。
Intelはまた、サーバ製品のUEFIファームウェアにおける5つの高深刻度の特権昇格の脆弱性も公開した。これらの脆弱性（CVE-2024-22382; CVE-2024-23487; CVE-2024-24981; CVE-2024-23980; およびCVE-2024-22095）は入力検証の欠陥としてリストされ、CVSSスケールで7.2から7.5の範囲の深刻度スコアが与えられている。
【ニュース解説】
Intelが、AIモデル圧縮ソフトウェアであるIntel Neural Compressorの一部のバージョンに最大深刻度の脆弱性が存在することを公表しました。この脆弱性は、CVE-2024-22476として指定され、認証されていない攻撃者が影響を受けるバージョンのソフトウェアを実行しているIntelシステム上で任意のコードを実行する可能性を提供します。この問題は、不適切な入力検証、つまりユーザー入力を適切にサニタイズしないことに起因しています。
この脆弱性は、遠隔から低い複雑さで利用可能であり、データの機密性、完全性、および可用性に高い影響を与えるため、最大スコアの10をCVSSスケールで受けています。攻撃者は特別な権限を必要とせず、ユーザーの操作も不要であるため、セキュリティ上非常に危険な状態と言えます。Intelは、影響を受けるバージョン2.5.0より前のIntel Neural Compressorユーザーに対し、バージョン2.5.0以降にアップグレードすることを推奨しています。
Intel Neural Compressorは、深層学習モデルを圧縮および最適化するためのオープンソースPythonライブラリで、コンピュータビジョン、自然言語処理、推薦システムなどの幅広いタスクに利用されます。この技術は、モバイルデバイスなどの計算能力が限られているハードウェアデバイス上でもAIアプリケーションを展開できるようにすることを目的としています。
この脆弱性の発見は、AIソフトウェアとツールが企業組織で作り出している攻撃面の拡大を示しています。これまでのAIソフトウェアに関するセキュリティ懸念は、大規模言語モデルやそれを利用したチャットボットなどのリスクに集中していましたが、AI製品やプラットフォームを構築およびサポートするために使用されるコアソフトウェアコンポーネントとインフラストラクチャの脆弱性に対するリスクは、これまであまり注目されていませんでした。
このような脆弱性は、攻撃者がシステムに不正アクセスし、機密情報を盗み出したり、システムを乗っ取ったりするリスクを高めます。そのため、企業はソフトウェアのアップデートを迅速に行い、セキュリティ対策を常に最新の状態に保つことが重要です。また、AI技術のセキュリティに関する研究と開発を進め、新たな脅威に対応できるような体制を整えることが求められます。
長期的には、AI技術の安全性と信頼性を確保するために、開発者、研究者、そして政策立案者が連携し、セキュリティ基準やガイドラインの策定、脆弱性の迅速な特定と修正、そしてユーザーへの教育と啓発を進めることが不可欠です。このような取り組みを通じて、AI技術のポテンシャルを最大限に活用しつつ、リスクを最小限に抑えることができるでしょう。
from Intel Discloses Max Severity Bug in Its AI Model Compression Software.
