Что произошло
26 марта 2024 года Oligo опубликовала отчёт о кампании ShadowRay, активной как минимум с 5 сентября 2023 года. Атакующие отправляли задачи в Jobs API фреймворка Ray, который не требует авторизации, и получали выполнение кода на всех узлах кластера. По данным Oligo, были скомпрометированы сотни кластеров с совокупной стоимостью вычислительных мощностей около 1 млрд долларов. С заражённых машин похищались учётные данные баз данных, ключи OpenAI, Hugging Face, Stripe и Slack, SSH-ключи и облачные учётные данные. MITRE внесла кампанию в ATT&CK как C0045. В ноябре 2025 года Oligo сообщила о второй волне, ShadowRay 2.0, с полезной нагрузкой, сгенерированной с помощью LLM.
Где нарушилась защита
Ray спроектирован для работы в строго контролируемой сети и не проверяет, кто отправляет задачи на исполнение. Граница доверия нарушилась, когда команды разворачивали панели и API кластеров с доступом из интернета, полагаясь на настройки по умолчанию. Уязвимость CVE-2023-48022 оспорена вендором, поэтому многие сканеры её не отмечали, и команды не видели риска.
Последствия
- По данным Oligo, скомпрометированы сотни кластеров Ray, стоимость их вычислительных мощностей оценивается примерно в 1 млрд долларов
- Похищены токены AI-сервисов, облачные учётные данные, ключи SSH, модели и обучающие данные
- GPU-ресурсы жертв использовались для криптомайнинга
- По данным Oligo на конец 2025 года, в интернете доступно более 230 тыс. серверов Ray
Реакция
Anyscale, разработчик Ray, не выпустила исправление, указав, что Ray должен работать только в доверенной среде, и опубликовала рекомендации по сетевой изоляции и авторизации доступа к панели.
Уроки для бизнеса
- AI-инфраструктура для обучения и инференса часто создаётся вне стандартных процессов ИБ
- Оспоренные CVE и проблемы уровня архитектуры не попадают в отчёты сканеров, но эксплуатируются
- Кластеры с GPU концентрируют модели, данные и ключи и потому особенно ценны
- Настройки по умолчанию в AI-фреймворках не рассчитаны на открытый доступ
Меры, которые предотвратили бы инцидент
- Запрет публикации панелей и API AI-кластеров в интернет, доступ только через VPN или защищённый шлюз
- Инвентаризация AI-инфраструктуры и регулярное внешнее сканирование открытых сервисов
- Вынесение секретов из переменных окружения узлов в менеджер секретов
- Мониторинг аномальной загрузки GPU и нетипичных задач в кластере