外观
MLOps 流水线与控制平面安全研究综述
摘要
MLOps 平台可以提交代码、读取训练数据、发布模型并调用云资源，其控制平面权限通常高于普通应用。Notebook 暴露、流水线参数注入、Artifact 路径信任和服务账号滥用会把单点缺陷转化为数据、模型和生产部署的联合失陷。
分类介绍
本领域覆盖 Jupyter、MLflow、Kubeflow、Pipeline 编排器、实验跟踪和模型部署控制面。MLflow 服务的认证缺失或 RCE 归本类；模型签名与制品来源归 A3。对手可从低权限项目成员、恶意 Pipeline 贡献者或外部暴露服务进入。
主要安全风险
- Notebook Token、反向代理和跨站配置错误可暴露交互式代码执行。
- Pipeline 组件常继承过宽云权限，并通过参数、环境变量或挂载传递 Secret。
- 实验记录、Artifact URI 和模型注册操作可能触发服务端请求或不安全加载。
- 开发、训练和生产共用控制面会削弱环境隔离与职责分离。
防护措施与验证方法
强制集中身份认证、项目级授权和短期工作负载身份；隔离开发与生产控制面；对 Pipeline 组件、参数和制品执行策略；限制出站网络和 Secret 暴露；审计模型注册、阶段提升和部署。测试需从最低项目角色验证越权，而非只扫描公开端口。
局限与待验证问题
- MLOps 权限能否按数据、实验、模型和部署阶段建立统一最小权限模型？
- Artifact URI 与远程加载功能如何避免 SSRF 和代码执行组合链？
- 控制平面事件如何与模型版本和训练作业关联取证？
历史研究成果
开源 ML 部署项目漏洞研究从 12 个项目的 149 个 GHSA 样本归纳严重性、后果和质量保障活动，显示未授权访问是最常见的后果编码，而模糊测试的采用最少。样本说明传统认证与输入处理问题在 MLOps 控制面会联动训练、数据和部署权限，但结论只覆盖开源项目与 GHSA，不能代表所有托管平台。
AI 工作负载控制平面真实入侵活动复盘把漏洞样本扩展到 Microsoft 在 LiteLLM、RAGFlow 和 Kestra 环境观察到的真实攻击活动：攻击者从服务进程读取模型供应商与数据库凭据、修改 RAGFlow 凭据处理路径、从工作流执行 Shell，并建立持久化或部署挖矿程序。共同结论是，网关、RAG 和编排平台一旦失陷，会把单一应用入口放大为凭据、数据、宿主与算力的联合控制点；但初始入口置信度不一，尤其 RAGFlow 不能归因到具体漏洞，事件遥测也不提供行业发生率。