AI sotto attacco! La vulnerabilità ShadowRay prende il controllo dei datacenter di addestramento dei modelli AI

Sandro Sana : 29 Marzo 2024 08:49

Nel panorama della sicurezza informatica, una nuova vulnerabilità sta facendo parlare di sé: si tratta di ShadowRay, un punto debole nel framework Ray, ampiamente utilizzato per eseguire carichi di lavoro AI complessi e intensivi dal punto di vista computazionale.

Questa vulnerabilità, identificata come CVE-2023-48022, è stata sfruttata attivamente negli ultimi sette mesi, esponendo migliaia di aziende a rischi significativi. Ricercatori di Oligo Security hanno scoperto che l’attacco ShadowRay mira a una vulnerabilità non corretta nel framework Ray, consentendo agli aggressori di prendere il controllo della potenza computazionale delle aziende e di far trapelare dati sensibili. Questo difetto è stato sotto sfruttamento, influenzando settori come l’istruzione, la criptovaluta e le aziende di analisi medica e video.

Ray è un framework open-source che supporta carichi di lavoro distribuiti per l’addestramento, il servizio e il tuning di modelli AI di tutte le architetture. L’uso diffuso di Ray, incluso da giganti come Amazon, Instacart, Shopify, LinkedIn e OpenAI, rende questa vulnerabilità particolarmente preoccupante. L’attacco ShadowRay segna la prima istanza conosciuta di sfruttamento attivo di carichi di lavoro AI attraverso vulnerabilità nell’infrastruttura AI moderna.

Quando gli aggressori ottengono l’accesso a un cluster di produzione Ray, possono eseguire codice a distanza e accedere a dati aziendali preziosi, rendendo gli attacchi facilmente monetizzabili mentre rimangono nell’ombra, totalmente non rilevati.

È fondamentale che tutte le organizzazioni che utilizzano Ray riesaminino i loro ambienti per assicurarsi di non essere esposti e analizzino qualsiasi attività sospetta. La consapevolezza di questa vulnerabilità e la vigilanza attiva sono essenziali per proteggere i carichi di lavoro AI e le risorse computazionali dalle minacce emergenti come ShadowRay.

La vulnerabilità CVE-2023-48022

La CVE-2023-48022 è un errore critico di esecuzione di codice remoto (RCE) che affligge la piattaforma di intelligenza artificiale Anyscale Ray. Ray è una piattaforma open source che consente di scalare facilmente applicazioni di intelligenza artificiale su cluster di macchine, utilizzando un’architettura distribuita. Ray è utilizzato da migliaia di aziende e ricercatori per eseguire carichi di lavoro di intelligenza artificiale, come apprendimento automatico, elaborazione del linguaggio naturale, visione artificiale e rinforzo.

La vulnerabilità CVE-2023-48022 consente agli attaccanti di eseguire codice arbitrario sulle macchine che fanno parte del cluster Ray, accedendo a tutte le risorse disponibili, inclusi dati sensibili come credenziali di accesso. La vulnerabilità ha un punteggio CVSS di 9.8, il che indica un livello di gravità molto alto. La vulnerabilità è stata scoperta da Anyscale nel novembre del 2023, insieme ad altre quattro vulnerabilità in Ray, di cui quattro sono state prontamente corrette: CVE-2023-6019, CVE-2023-6020, CVE-2023-6021 e CVE-2023-48023.

La decisione di Anyscale

Tuttavia, la quinta vulnerabilità, la CVE-2023-48022, è stata trascurata da Anyscale, che ha giustificato questa decisione affermando che la piattaforma non era mai stata progettata per l’utilizzo su Internet e non richiedeva autenticazione. L’azienda ha affermato che la vulnerabilità potrebbe essere sfruttata solo in deploy che violano le raccomandazioni della documentazione del progetto, utilizzando la piattaforma in un ambiente di rete rigidamente controllato. Inoltre, Anyscale ha sostenuto che la correzione della vulnerabilità avrebbe richiesto una riscrittura sostanziale del codice sorgente di Ray, con un impatto negativo sulle prestazioni e sulla scalabilità.

Questa decisione è stata fortemente criticata dalla comunità di sicurezza informatica, che ha accusato Anyscale di negligenza e irresponsabilità. Molti esperti hanno sottolineato che la vulnerabilità era facilmente sfruttabile, in quanto molti cluster Ray erano esposti su Internet o su reti interne non protette. Inoltre, hanno evidenziato che la correzione della vulnerabilità non era impossibile, ma solo complessa, e che Anyscale avrebbe dovuto almeno avvisare i suoi utenti del rischio e fornire delle possibili soluzioni alternative.

L’attacco ShadowRay

La decisione di Anyscale ha avuto delle conseguenze catastrofiche, in quanto hacker prontamente informati hanno avviato una campagna, nota come ShadowRay, almeno dal 5 settembre 2023, con l’obiettivo di sfruttare le risorse computazionali per il mining e il furto di dati sensibili di migliaia di aziende. Gli hacker hanno utilizzato tecniche di scansione di rete e di fuzzing per individuare i cluster Ray vulnerabili e inviare payload malevoli che eseguivano codice arbitrario sulle macchine bersaglio. Attraverso questa vulnerabilità, centinaia di cluster Ray sono stati compromessi, con i pirati informatici che hanno rubato una vasta gamma di informazioni, tra cui carichi di lavoro di intelligenza artificiale, credenziali di database, hash delle password, chiavi SSH e token di servizi come OpenAI, HuggingFace e Stripe.

Inoltre, molti di questi cluster operavano con privilegi di root, consentendo l’accesso a servizi cloud sensibili e potenzialmente mettendo a rischio la privacy dei clienti. I cluster compromessi fornivano anche accesso alle API di Kubernetes e token di Slack. Oligo ha notato che la maggior parte dei cluster compromessi sono stati infettati con software di mining di criptovalute, come XMRig, NBMiner e Zephyr, insieme a backdoor per un accesso persistente. Data la portata degli attacchi e la complessità degli eventi, gli esperti di Oligo ritengono che dietro a ShadowRay ci sia un gruppo di hacker esperti, che sono riusciti ad evitare il rilevamento grazie a tecniche avanzate e all’uso di interazioni di rete ambigue. Gli investigatori hanno anche scoperto un payload utile codificato in base64, che evidenzia tentativi di elevazione dei privilegi su macchine compromesse utilizzando script open-source che non vengono rilevati da alcun motore antivirus su VirusTotal.

L’attacco è stato rivelato da Oligo, una società di sicurezza informatica specializzata in intelligenza artificiale, che ha condotto un’analisi forense su alcuni cluster Ray infettati. Oligo ha stimato che l’attacco ha causato danni per milioni di euro, sia in termini di perdita di dati che di consumo di energia. Oligo ha anche avvertito che l’attacco potrebbe avere delle ripercussioni sulla sicurezza nazionale e sulla privacy dei cittadini, in quanto alcuni dei dati rubati potrebbero appartenere a enti governativi, organizzazioni sanitarie e istituti di ricerca.

Le contromisure

Di fronte alla gravità dell’attacco, Anyscale ha finalmente ammesso la sua responsabilità e ha rilasciato una patch di emergenza per correggere la vulnerabilità CVE-2023-48022. L’azienda ha anche presentato le sue scuse agli utenti e ha promesso di rafforzare le sue pratiche di sicurezza informatica. Tuttavia, molti utenti hanno perso la fiducia in Anyscale e hanno deciso di migrare verso altre piattaforme di intelligenza artificiale, come PyTorch, TensorFlow e JAX.

Per prevenire ulteriori attacchi, Oligo ha consigliato agli utenti di Ray di applicare immediatamente la patch, di monitorare le attività anomale sulle loro macchine, di cambiare le loro credenziali di accesso e di isolare i cluster Ray da Internet o da reti non sicure. Inoltre, Oligo ha offerto il suo supporto per aiutare le vittime dell’attacco a recuperare i loro dati e a identificare gli hacker responsabili.