Google Vertex AI 爆發權限設計缺陷，恐導致雲端機密資料外洩

Google Cloud的Vertex AI Agent Engine讓企業建置與部署自主AI代理，但代理需透過服務帳戶讀取雲端資源。若預設身分獲授超出任務所需權限，一旦代理遭植入惡意程式或設定不當，攻擊者便可能把單一工作負載變成橫向移動入口，危及整個Google Cloud專案的機密資料與租戶隔離。

Palo Alto Networks旗下Unit 42於2026年3月31日揭露，預設P4SA憑證可從中繼資料服務被取出，研究人員因而讀取用戶全部Cloud Storage資料，並下載Google內部Artifact Registry映像。Google更新文件與ADK部署流程，建議採BYOSA自訂帳戶，僅給必要權限。