2026年8月17日、米国サイバーセキュリティ・インフラセキュリティ局（CISA）は、Ray分散コンピューティングフレームワークの脆弱性CVE-2025-62593を既知の悪用済み脆弱性カタログ（KEV）に正式登録し、連邦民事行政機関に対してわずか3日間の対応期限――8月20日まで――にパッチ適用を完了するよう義務付けた。CVE-2025-62593のCVSS v4スコアは9.4で深刻度は「クリティカル」に分類され、修正済みバージョンはRay 2.52.0である。
この事件は、AI/MLインフラのツールチェーンが「野外での悪用が確認された」として初めてCISA KEVカタログに登録されたケースとなった。同カタログはこれまでOS、VPNゲートウェイ、エンタープライズアプリケーションソフトウェアがほぼ独占していた。
脆弱性の根本原因：バグではなく設計上の決断
RayはPythonネイティブのオープンソース分散コンピューティングフレームワークで、GitHubでは43,500を超えるスターと7,900以上のフォークを持ち、AIトレーニングタスクのスケールアウトや推論クラスタのスケジューリングに広く利用されている。CVE-2025-62593の原因について、Ray公式メンテナーはセキュリティアドバイザリの中で次のように記している。
「Rayの開発チームが長年にわたって主要エンドポイント（/api/jobs や /api/job_agent/jobs/ など）に一切の認証機構を実装しないという決定を下してきたことが、今回も深刻な脆弱性につながった。」
Rayはデフォルトで、ダッシュボードおよびAPIエンドポイントが信頼された内部ネットワーク上で動作することを前提としており、ネットワーク境界のセキュリティはユーザー自身が担保することとされている。学術研究環境であればこの前提は許容できるが、AI/MLワークロードが企業の本番環境に大規模に移行している現在、この前提はすでに成立しない。
攻撃者はUser-Agentの検出とDNSリバインディング技術を組み合わせ、被害者のブラウザを「意図せぬ共犯者」として利用した。開発者が悪意あるウェブサイトを閲覧したり悪意ある広告に接触したりすると、そのブラウザが知らぬ間にローカルまたは内部ネットワーク上のRayインスタンスにリクエストを送信し、任意のシェルコードが実行される。FirefoxおよびSafariはともにこのUser-Agent検出を回避可能であった。
タイムラインの異常：公開より先に武器化が完了
BitSightが2026年3月に公開したレポートによると、RondoDox DDoSボットネットの運営者は、CVE-2025-62593の公式開示日（2025年11月26日）の2日前にはすでに当該脆弱性を攻撃ツールキットに組み込んでいた。
武器化の範囲はDDoSにとどまらない。セキュリティ企業Oligoのレポートによると、Rayクラスターを標的とした「ShadowRay 2.0」と呼ばれる活発な攻撃キャンペーンが確認されており、感染したNVIDIA GPU搭載のRayノードが自己複製型の仮想通貨マイニングボットネットへと転用されていた。AIコンピューティングクラスターはもともと高性能GPUを備えており、Rayノード1台の計算能力を乗っ取る価値は、通常のWebサーバー1台を乗っ取るそれを大きく上回る。
AI/ML環境が特に脆弱な標的となる理由
RayはAIワークロードの依存ツリーの中にPythonパッケージとして埋め込まれていることが多い。これがアセット把握の問題を引き起こす。企業のセキュリティチームは、どのマシンでRayインスタンスが動作しているか、またそれらのインスタンスがアクセス可能なネットワークに露出しているかどうかを、まったく把握できていない可能性が高い。
AI/ML環境はセキュリティガバナンスの観点から長らくグレーゾーンに置かれてきた。こうした環境はシステムエンジニアではなくデータサイエンティストが管理し、セキュリティコンプライアンスよりも実験速度が優先され、社内ネットワークにおいて比較的緩やかなネットワーク権限を享受していることが多い。このため、侵害に成功したRayノードが、内部ネットワークへの横展開の踏み台になる可能性は極めて高い。
攻撃者はフィッシングや悪意ある広告配信を通じて開発者を標的にしており、ローカルでRayを実行しているエンジニアを狙っている。開発者のマシンが一度侵害されれば、攻撃者は企業内部ネットワークへの活動拠点を手に入れることになる。
CISAが3日間という期限を設けた真の意味
CISAのKEVカタログにおいて3日間という対応期限が設けられた前例はあるが、通常は既知のAPTグループが連邦機関を標的に特定の脆弱性を悪用しているといった、最も差し迫った状況においてのみ適用される。今回の3日間という設定は、CISAが野外での悪用について十分な証拠を把握していることを意味する。
期限の8月20日はすでに過ぎ、事後検証フェーズに入っている。連邦機関にとっての検証対象は、Rayそのものにとどまらず、Rayが組み込まれている可能性のあるすべてのコンテナイメージ、Kubernetesデプロイメント、CI/CDパイプラインにまで及ぶ――メインパッケージを更新しても、すべての依存レイヤーに残る旧バージョンが除去されるとは限らないためだ。
独自見解
この事件が浮き彫りにしたシステム的な盲点は、AI/MLツールチェーンがセキュリティガバナンスの対応能力をはるかに超えるスピードで企業の本番インフラに組み込まれているという現実だ。Ray、vLLM、Triton、Kubeflowといったフレームワークはいずれも学術・研究環境を起源としており、セキュリティは最初から設計の優先事項ではなかった。それらが実際の攻撃対象面を持つ本番環境にそのまま持ち込まれたとき、歴史的な負債が脆弱性という形で顕現する。
Rayのメンテナーが認証の欠如を「長年の設計上の決定」と認めた事実は、その決定が深刻な現実的被害をもたらしたことを意味する。Rayを本番の推論サービスに使用しているチームにとって、今回の事件は強制的な見直しの機会だ。Rayクラスターは内部ネットワークからアクセス可能な範囲に露出していないか？ネットワークレベルの隔離は施されているか？「自社で何台のマシンがRayを実行しているか」という問いに答えられる資産台帳は存在するか？これら3つの問いに対してまともな答えが出ないのであれば、CVE-2025-62593はその始まりにすぎない。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接