AI प्रशिक्षण के बड़े हिस्से के नीचे चलने वाला इंजन इस्तेमाल हो रहा है — और वाशिंगटन ने एजेंसियों को तीन दिन दिए

17 अगस्त को अमेरिकी साइबर सुरक्षा एजेंसी CISA ने CVE-2025-62593 को उन ख़ामियों की सूची में जोड़ा जिनका सक्रिय रूप से इस्तेमाल हो रहा है। यह ख़ामी Ray में है — वह ओपन-सोर्स वितरित कंप्यूट इंजन जिस पर उत्पादन स्तर की मशीन लर्निंग ट्रेनिंग और इनफ़रेंस का बड़ा हिस्सा चलता है। इसकी रेटिंग 10 में से 9.4 है। हमले का रास्ता असामान्य रूप से घुमावदार है: Ray ब्राउज़र से आने वाले अनुरोध रोकने के लिए जाँचता था कि User-Agent हेडर 'Mozilla' से शुरू होता है या नहीं — एक जाँच जिसे हमलावर आसानी से पूरा कर सकता है। इसे DNS रीबाइंडिंग की तरकीब के साथ जोड़ दें, तो कोई दुर्भावनापूर्ण वेब पेज — या कोई दुर्भावनापूर्ण विज्ञापन — उस व्यक्ति की मशीन पर कोड चला सकता है जो Ray चलाते हुए Firefox या Safari में ब्राउज़ कर रहा हो। संघीय नागरिक एजेंसियों को इसे ठीक करने के लिए 20 अगस्त तक का समय दिया गया: तीन दिन, जो बाध्यकारी परिचालन निर्देश 26-04 के तहत उपलब्ध सबसे छोटी अवधि है और उन्हीं संपत्तियों के लिए रखी गई है जो सार्वजनिक रूप से पहुँच योग्य हैं और जहाँ सफल हमला पूरी मशीन सौंप देता है। यह ख़ामी नवंबर 2025 में उजागर हुई थी, और BitSight के शोधकर्ताओं ने बाद में पाया कि RondoDox बॉटनेट उस घोषणा से दो दिन पहले से ही इसका इस्तेमाल कर रहा था। Ray के अनुरक्षक इस चित्रण से असहमत हैं: उनके दस्तावेज़ कहते हैं कि Ray कड़े नियंत्रित नेटवर्क के बाहर चलाने के लिए नहीं बना, और संस्करण 2.52.0 से टोकन प्रमाणीकरण उपलब्ध है।

✓ सत्यापित · 4 स्रोत

संबंधित खबरें