# ShadowRay: первая известная кампания атак на AI-кластеры Ray

> Исследователи Oligo обнаружили кампанию, в которой злоумышленники с сентября 2023 года захватывали открытые в интернет кластеры Ray через API запуска задач без аутентификации. С серверов похищались учётные данные облаков, токены AI-сервисов, модели и данные, а GPU использовались для майнинга. Вендор считает отсутствие аутентификации особенностью архитектуры, поэтому исправления не выпущено.

- Канонический HTML: [/incidents/shadowray-ray-clusters-attacks](https://ai-first.tech/incidents/shadowray-ray-clusters-attacks)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2024-03-26
- Категория: Уязвимость платформы
- Затронуто: Организации с открытыми в интернет кластерами распределённых вычислений Ray (образование, криптовалюты, биофарма и другие отрасли)
- Критичность: Критический
- CVE: CVE-2023-48022

## Что произошло

26 марта 2024 года Oligo опубликовала отчёт о кампании ShadowRay, активной как минимум с 5 сентября 2023 года. Атакующие отправляли задачи в Jobs API фреймворка Ray, который не требует авторизации, и получали выполнение кода на всех узлах кластера. По данным Oligo, были скомпрометированы сотни кластеров с совокупной стоимостью вычислительных мощностей около 1 млрд долларов. С заражённых машин похищались учётные данные баз данных, ключи OpenAI, Hugging Face, Stripe и Slack, SSH-ключи и облачные учётные данные. MITRE внесла кампанию в ATT&CK как C0045. В ноябре 2025 года Oligo сообщила о второй волне, ShadowRay 2.0, с полезной нагрузкой, сгенерированной с помощью LLM.

## Где нарушилась защита

Ray спроектирован для работы в строго контролируемой сети и не проверяет, кто отправляет задачи на исполнение. Граница доверия нарушилась, когда команды разворачивали панели и API кластеров с доступом из интернета, полагаясь на настройки по умолчанию. Уязвимость CVE-2023-48022 оспорена вендором, поэтому многие сканеры её не отмечали, и команды не видели риска.

## Последствия

- По данным Oligo, скомпрометированы сотни кластеров Ray, стоимость их вычислительных мощностей оценивается примерно в 1 млрд долларов
- Похищены токены AI-сервисов, облачные учётные данные, ключи SSH, модели и обучающие данные
- GPU-ресурсы жертв использовались для криптомайнинга
- По данным Oligo на конец 2025 года, в интернете доступно более 230 тыс. серверов Ray

## Реакция

Anyscale, разработчик Ray, не выпустила исправление, указав, что Ray должен работать только в доверенной среде, и опубликовала рекомендации по сетевой изоляции и авторизации доступа к панели.

## Уроки для бизнеса

- AI-инфраструктура для обучения и инференса часто создаётся вне стандартных процессов ИБ
- Оспоренные CVE и проблемы уровня архитектуры не попадают в отчёты сканеров, но эксплуатируются
- Кластеры с GPU концентрируют модели, данные и ключи и потому особенно ценны
- Настройки по умолчанию в AI-фреймворках не рассчитаны на открытый доступ

## Меры защиты

- Запрет публикации панелей и API AI-кластеров в интернет, доступ только через VPN или защищённый шлюз
- Инвентаризация AI-инфраструктуры и регулярное внешнее сканирование открытых сервисов
- Вынесение секретов из переменных окружения узлов в менеджер секретов
- Мониторинг аномальной загрузки GPU и нетипичных задач в кластере

Связанные карточки угроз: A32, A49, A29, A09

## Первоисточники

- [ShadowRay: First Known Attack Campaign Targeting AI Workloads Exploited In The Wild](https://www.oligo.security/blog/shadowray-attack-ai-workloads-actively-exploited-in-the-wild) — Oligo Security
- [ShadowRay, Campaign C0045](https://attack.mitre.org/campaigns/C0045/) — MITRE ATT&CK
- [New ShadowRay attacks convert Ray clusters into crypto miners](https://www.bleepingcomputer.com/news/security/new-shadowray-attacks-convert-ray-clusters-into-crypto-miners/) — BleepingComputer