Docker ແກ້ໄຂຊ່ອງໂຫວ່ DockerDash ທີ່ເປັນໄພຂົ່ມຂູ່ຕໍ່ຜູ້ຊ່ວຍ AI Ask Gordon

ຊ່ອງໂຫວ່ຄວາມປອດໄພຂອງ DockerDash ຫາກໍ່ໄດ້ຮັບການແກ້ໄຂໃນ Docker Desktop ເວີຊັນ 4.50.0, ເຊິ່ງປ້ອງກັນຄວາມສ່ຽງຈາກການປະຕິບັດລະຫັດທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ ແລະ ການລັກຂໍ້ມູນຜ່ານຜູ້ຊ່ວຍ AI.

ຊ່ອງໂຫວ່ຄວາມປອດໄພຂອງ DockerDash ແມ່ນຊ່ອງໂຫວ່ Meta-Context Injection ທີ່ສຳຄັນ ເຊິ່ງສົ່ງຜົນກະທົບຕໍ່ຜູ້ຊ່ວຍ Ask Gordon AI ໃນ Docker Desktop ແລະ Docker CLI. ຊ່ອງໂຫວ່ນີ້ຊ່ວຍໃຫ້ຜູ້ໂຈມຕີສາມາດປະຕິບັດລະຫັດທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ ແລະ ລັກຂໍ້ມູນທີ່ລະອຽດອ່ອນຜ່ານ metadata image Docker ໂດຍບໍ່ມີການກວດສອບຄວາມຖືກຕ້ອງ.

ນັກຄົ້ນຄວ້າທີ່ Noma Labs ໄດ້ຄົ້ນພົບຊ່ອງໂຫວ່ນີ້, ແລະ Docker ໄດ້ປ່ອຍແພັດຊ໌ຢ່າງເປັນທາງການໃນເວີຊັນ 4.50.0 ໃນເດືອນພະຈິກ 2025.

ກົນໄກການຂຸດຄົ້ນຜ່ານການສີດ Meta-Context

ອີງຕາມ Noma Security, ສາເຫດຕົ້ນຕໍຂອງ DockerDash ແມ່ນຢູ່ໃນການປະຕິບັດຂອງ Ask Gordon ຕໍ່ metadata ທີ່ບໍ່ໄດ້ຮັບການຢືນຢັນເປັນຄຳສັ່ງທີ່ຖືກຕ້ອງ. ຜູ້ໂຈມຕີສາມາດສ້າງຮູບພາບ Docker ທີ່ມີຄຳສັ່ງທີ່ເປັນອັນຕະລາຍທີ່ຝັງຢູ່ໃນຊ່ອງ LABEL ຂອງ Dockerfile. ເມື່ອຜູ້ໃຊ້ຖາມ Ask Gordon ກ່ຽວກັບຮູບພາບນີ້, AI ຈະວິເຄາະ ແລະ ຕີຄວາມໝາຍຄຳສັ່ງທີ່ເປັນອັນຕະລາຍວ່າເປັນຄຳສັ່ງຄວບຄຸມປົກກະຕິ.

ຫຼັງຈາກນັ້ນ, Ask Gordon ຈະສົ່ງຕໍ່ເນື້ອຫານີ້ໄປຫາ MCP Gateway (Model Context Protocol). ເນື່ອງຈາກ Gateway ບໍ່ສາມາດແຍກແຍະລະຫວ່າງປ້າຍກຳກັບທີ່ອະທິບາຍ ແລະ ຄຳສັ່ງພາຍໃນໄດ້, ມັນຈະປະຕິບັດລະຫັດຜ່ານເຄື່ອງມື MCP ດ້ວຍສິດທິພິເສດດ້ານການບໍລິຫານຂອງຜູ້ໃຊ້ໂດຍບໍ່ຕ້ອງການຂັ້ນຕອນການກວດສອບຄວາມຖືກຕ້ອງເພີ່ມເຕີມໃດໆ.

ຄວາມສ່ຽງຂອງການປະຕິບັດລະຫັດ ແລະ ການຮົ່ວໄຫຼຂອງຂໍ້ມູນລະບົບ.

ການໂຈມຕີ DockerDash ແມ່ນເປັນອັນຕະລາຍໂດຍສະເພາະເພາະມັນໃຊ້ປະໂຫຍດຈາກສະຖາປັດຕະຍະກຳທີ່ມີຢູ່ແລ້ວຂອງ Docker. ນອກເໜືອໄປຈາກການປະຕິບັດລະຫັດຈາກໄລຍະໄກ, ຜູ້ໂຈມຕີສາມາດໃຊ້ຜູ້ຊ່ວຍ AI ເພື່ອເກັບກຳຂໍ້ມູນທີ່ລະອຽດອ່ອນພາຍໃນສະພາບແວດລ້ອມ Docker Desktop. ຂໍ້ມູນທີ່ເປີດເຜີຍອາດຈະປະກອບມີລາຍລະອຽດຂອງຕູ້ຄອນເທນເນີ, ການຕັ້ງຄ່າລະບົບ, ໄດເລກະທໍລີທີ່ຕິດຕັ້ງ, ແລະສະຖາປັດຕະຍະກຳເຄືອຂ່າຍພາຍໃນ.

ສິ່ງທີ່ໜ້າສັງເກດແມ່ນເວີຊັນ 4.50.0 ບໍ່ພຽງແຕ່ແກ້ໄຂ DockerDash ເທົ່ານັ້ນ ແຕ່ຍັງແກ້ໄຂຊ່ອງໂຫວ່ການສີດ prompt ອີກອັນໜຶ່ງທີ່ຄົ້ນພົບໂດຍ Pillar Security. ຊ່ອງໂຫວ່ນີ້ກ່ອນໜ້ານີ້ຊ່ວຍໃຫ້ຜູ້ໂຈມຕີສາມາດຄວບຄຸມ AI ຜ່ານ metadata ຂອງ repository ໃນ Docker Hub.

ຄຳແນະນຳກ່ຽວກັບຄວາມປອດໄພ ແລະ ການພິສູດຢືນຢັນຕົວຕົນແບບ Zero-Trust

Sasi Levi, ຜູ້ຊ່ຽວຊານຈາກ Noma Security, ເຊື່ອວ່າ DockerDash ເປັນຕົວເຕືອນກ່ຽວກັບຄວາມສ່ຽງຂອງລະບົບຕ່ອງໂສ້ການສະໜອງ AI. ແຫຼ່ງຂໍ້ມູນທີ່ເຄີຍຖືກພິຈາລະນາວ່າໜ້າເຊື່ອຖືໄດ້ຢ່າງສົມບູນສາມາດຖືກນຳໃຊ້ເພື່ອຫຼອກລວງຂະບວນການປະຕິບັດຂອງພາສາຕົວແບບຂະໜາດໃຫຍ່ (LLM).

ເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງ, ຜູ້ໃຊ້ຄວນອັບເດດ Docker Desktop ເປັນເວີຊັນລ່າສຸດທັນທີ. ຜູ້ຊ່ຽວຊານແນະນຳວ່າການນຳໃຊ້ການກວດສອບຄວາມຖືກຕ້ອງຂອງ zero-trust ກັບຂໍ້ມູນສະພາບການທັງໝົດທີ່ສະໜອງໃຫ້ກັບຮູບແບບ AI ແມ່ນເປັນສິ່ງຈຳເປັນເພື່ອຮັບປະກັນຄວາມປອດໄພຂອງລະບົບ.

ການໂຄສະນາ

ແຫຼ່ງຂໍ້ມູນ: https://baonghean.vn/docker-khac-phuc-lo-hong-dockerdash-de-doa-tro-ly-ai-ask-gordon-10322463.html