如何判断 Jupyter 实例是否安全？用 jupysec 快速检测

Jupyter 环境为机器学习开发者提供了极大的便利，但它的模块化架构也可能带来安全隐患。NVIDIA AI 红色团队开发了一款名为 jupysec 的工具，它基于近 100 条安全规则，自动评估 Jupyter 环境的安全状态，帮助您识别潜在漏洞、攻击向量和危害指标。

NVIDIA AI 红队与 Jupyter 的安全挑战

NVIDIA AI 红色团队在日常工作中频繁接触 Jupyter 生态系统——这是一套由多个互连组件构成的工具集，支持 Julia、Python 或 R 代码的客户端-服务器模式执行。典型的工作流是：用户在浏览器中与代码交互，代码通过 HTTP/S 和 WebSocket 发送到 Jupyter 服务器（可运行在本地或云端），服务器再通过消息队列将代码分发到内核中执行（见图1）。

图 1. Jupyter 体系结构概述

这种模块化架构虽然灵活，却也给攻击者提供了多种影响机器学习开发流程的机会。例如：

• 通过访问 JupyterLab 客户端，攻击者可在已认证用户的上下文中发送命令。
• 通过访问服务器和内核，攻击者可能与用户运行时交互，而无需访问用户的主机。

Jupyter 默认配置在安全性和易用性之间做了平衡，但 用户的无意操作或恶意攻击者都可能引入安全漏洞。以下是一些 AI 红色团队发现的典型风险示例：

1. 监听接口风险：默认 Jupyter 服务器只监听 localhost，但修改配置或命令行参数后可使其监听广播域，导致未经授权的网络访问。
2. CSRF 防护被禁用：Jupyter 默认启用了跨站请求伪造检查，但攻击者可在配置文件中禁用此功能，使用户在不知情下执行恶意代码。
3. 内核劫持：攻击者若有足够权限，可将自己的 Jupyter 客户端连接到正在运行的内核，创建变量、覆盖导入或执行任意代码，直接影响 AI 模型的训练结果。

这些风险配置可能是有意的、无意的，或是恶意篡改的结果。由于 Jupyter 的配置分散在多个文件和命令行参数中，手动识别和分类非常困难。