• 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

驱动亚马逊、苹果和OpenAI的AI框架存在关键漏洞——补丁今日截止

2026-08-21 06:46:50
收藏

支撑亚马逊、苹果和OpenAI人工智能工作负载的开源软件存在严重漏洞,且已被积极利用

亚马逊、苹果和OpenAI等公司的人工智能工作负载所依赖的开源软件,存在一个已被积极利用的严重漏洞——联邦机构需在8月20日(今日)之前完成修补,否则须将受影响的系统下线。

什么是Ray,为何此事至关重要

Ray是由Anyscale公司开发的开源分布式计算框架,旨在将Python工作负载——包括机器学习训练、模型推理管道、数据处理任务——扩展到CPU和GPU集群中。该项目在GitHub上拥有超过43,000颗星,并被全球多家大型人工智能公司采用,绝非小众工具。当Ray出现严重漏洞时,潜在影响范围极其巨大:受影响的系统通常不是个人笔记本电脑,而是承载着专有模型、训练数据和云凭证的昂贵计算集群。

漏洞详情

CVE-2025-62593是一个代码注入漏洞,影响Ray 2.52.0之前的所有版本,在CVSS v4评分系统中评级为9.4(满分10分),属于最高严重等级。美国网络安全与基础设施安全局(CISA)于8月17日将其列入“已知被利用漏洞目录”,并根据《约束性操作指令26-04》要求联邦民事行政分支机构的机构在三天内完成修复——该指令适用于漏洞被利用后可完全控制受暴露资产的最短时限窗口。

攻击机制在技术层面十分精准。Ray暴露了多个HTTP API端点,包括/api/jobs/api/job_agent/jobs/,这些端点用于在集群上提交和执行代码。Ray原本防御恶意网站访问本地运行实例的策略是检查HTTP User-Agent标头是否以“Mozilla”开头——其逻辑是浏览器请求会携带该前缀。问题在于:Firefox和Safari都允许使用Fetch API的脚本修改该标头。结合DNS重新绑定攻击(先解析到良性外部地址,后诱使浏览器连接到本地地址),攻击者只需诱使开发者访问恶意网站或查看恶意广告,即可通过开发者的浏览器访问Ray API并执行任意代码。

已在野外被积极利用

CISA的“已知被利用漏洞”列表证实了该漏洞已被积极利用,而不仅仅是理论风险。安全公司Bitsight将这一漏洞与RondoDox关联——一个以主动扫描互联网寻找可利用端点而闻名的DDoS僵尸网络,该网络早在2025年11月24日(该CVE正式发布前两天)就开始整合针对此漏洞的概念验证代码。Oligo Security的研究人员另外追踪到名为“ShadowRay 2.0”的攻击活动,该活动专门针对配备高端Nvidia GPU的人工智能基础设施集群,将其用于加密货币挖矿等目的。该漏洞于2025年11月首次披露;从披露到被积极利用,再到联邦紧急补丁令,整个过程不到九个月。

修复方案与应对措施

该漏洞已在Ray 2.52.0版本中得到修复。任何在开发或生产环境中运行Ray的组织,应立即采取行动:找出所有低于2.52.0版本的Ray安装并更新,尤其需要优先处理那些同时运行Ray并使用Firefox或Safari浏览网页的机器。CISA还建议尽可能将Ray部署与可访问互联网的界面隔离——需要强调的是,Ray最初被设计为受信任的内部计算框架,而非面向公众的服务,将其API端点暴露在互联网上从来都不是预期配置。

更大的趋势

这一事件是2026年披露的一系列人工智能基础设施漏洞中的最新案例。如果说今年早些时候的安全事件主要聚焦于人工智能代理逃逸沙箱,或人工智能编码工具在生产代码中引入缺陷,那么此次事件则处于更深层次:被用于运行模型的计算框架本身遭到积极利用,目的是窃取支撑大规模人工智能的GPU集群。这提醒我们,保护人工智能系统不仅要保护模型及其构建的产品,还要保护底层整个基础设施栈——这一点从不同角度也印证了人工智能基础设施安全的重要性。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻
自选
我的自选
查看全部
市值 价格 24h%