VS geeft overheid drie dagen voor kritiek lek in AI-framework Ray

De Amerikaanse cybersecurity-waakhond CISA heeft federale overheidsinstanties drie dagen gegeven om een kritiek lek te dichten in Ray, een veelgebruikt open-source framework voor het draaien van AI- en machine learning-workloads. Het lek, geregistreerd als CVE-2025-62593, staat sinds 17 augustus in de Known Exploited Vulnerabilities-catalogus van CISA en wordt volgens het agentschap al actief misbruikt.

Wat is er mis met Ray

Ray is het framework achter een flink deel van de AI-industrie. Bedrijven als Amazon, Apple en OpenAI gebruiken het om trainingsjobs en inferentie te verdelen over grote clusters GPU’s. Volgens The Hacker News laat het lek aanvallers via een DNS rebinding-aanval op afstand code uitvoeren, zelfs vanuit een gewone browser als Firefox of Safari. Een kwaadwillende hoeft dus geen directe toegang tot het netwerk te hebben; een slachtoffer dat een kwaadaardige pagina bezoekt terwijl Ray lokaal draait, volstaat al.

The Register meldt dat CISA de deadline op 20 augustus heeft gezet onder Binding Operational Directive 26-04, de richtlijn die sinds dit jaar specifiek geldt voor AI-gerelateerde infrastructuur bij de federale overheid. Instanties moeten upgraden naar Ray 2.52.0 of nieuwer, images herbouwen die oudere afhankelijkheden bevatten en controleren of pakketbeheertools geen verouderde Ray-versie hebben laten hangen.

Niet het eerste AI-framework met problemen

Dat uitgerekend de infrastructuur onder AI-modellen kwetsbaar blijkt, past in een patroon. Eerder dit jaar liet een inbraak bij Hugging Face al zien hoe kwetsbaar de opslagplaatsen voor AI-modellen kunnen zijn, en een AI-agent van beveiligingsbedrijf Wiz brak eerder deze maand in bij Snowflake via een bug in Copilot. Ook aanvallers zelf grijpen steeds vaker naar AI: OpenAI’s eigen beveiligingsmodel GPT-5.6-Cyber vond onlangs nog een lek in de V8-engine van Chrome, en het bedrijf geeft geselecteerde partners inmiddels toegang tot een model dat specifiek is getraind om kwetsbaarheden op te sporen.

Securityaffairs.com wijst erop dat Ray in veel bedrijven draait zonder dat de securityafdeling daar volledig zicht op heeft. Het framework wordt vaak door datateams zelf geïnstalleerd, buiten de gebruikelijke patchcycli om, wat het extra kwetsbaar maakt voor dit soort schaduw-infrastructuur.

Reikwijdte van de directive

De verplichting geldt formeel alleen voor Amerikaanse federale instanties, maar CISA-richtlijnen fungeren doorgaans als de facto industriestandaard. Bedrijven die zelf AI-clusters draaien, doen er volgens meerdere bronnen goed aan om nu ook te controleren welke Ray-versie in hun omgeving actief is. Eerder trok de Amerikaanse overheid al een strengere lijn richting AI-modellen, en deze kwetsbaarheid onderstreept dat niet alleen de modellen zelf, maar ook de laag daaronder aandacht verdient.

Wat betekent dit

Voor organisaties die zelf met Ray werken is de boodschap simpel: patchen, en snel. Voor de bredere AI-sector laat het incident zien dat de infrastructuur onder AI net zo’n aantrekkelijk doelwit is geworden als de modellen zelf. Naarmate meer bedrijven grote clusters optuigen voor training en inferentie, groeit ook het aanvalsoppervlak, en dat verdient dezelfde aandacht als de modellen die erop draaien.