10 листопада NEAR AI повідомила, що її хмарний інференс-сервіс знову працює після того, як інженери виправили критичну вразливість у відкритому інференс-рушії SGLang. Ця вразливість, яка була експлуатована 8 листопада, дала неуповноваженій стороні права на віддалене виконання коду на інференс-сервері, що дозволило їй пересуватися мережею компанії.

Масштаб інциденту

Згідно зі звітністю про безпеку NEAR AI, оприлюдненою 9 листопада, зловмисник отримав доступ до облікових даних приблизно 100 користувачів, включаючи електронні пошти, імена, плани підписки та, для деяких акаунтів, деталі балансу. Інцидент також торкнувся 18 застарілих AI-агентів, які працювали на старій версії NEAR AI Agents; їхні історії чатів, налаштування та операційні журнали були завантажені.

Витік облікових даних та заходи з усунення

У двох клієнтів хмарного сервісу були скомпрометовані API-ключі через витожені журнали. NEAR AI негайно анулювала обидва облікові дані, замінила активні сесії, адміністративні ключі та токени агентів, а також вивела з ладу припинений сервіс Private Chat під час застосування виправлення. Компанія завершила повний форензичний огляд, зв’язалася з постраждалими користувачами та агентами і заявила, що додаткові дії з боку клієнтів, яким не надіслали повідомлення, не потрібні.

Вплив на NEAR Protocol та ширший контекст

NEAR AI наголосила, що інцидент не вплинув на базову блокчейн-платформу NEAR Protocol чи інші сервіси в екосистемі NEAR. Витоки відбулися того ж тижня, коли Elliptic повідомила про використання токенів на базі NEAR для відмивання приблизно $430 000 внаслідок хакерської атаки на біржу Binance, але ці дві події не пов’язані. Компанія повідомила про вразливість SGLang розробникам проєкту та заявила, що майбутні огляди безпеки охоплять інференс-програмне забезпечення, залежності та конфігурації розгортання.

Що спостерігати далі

Спостерігачі стежитимуть за тим, чи розкриють інші користувачі SGLang подібні випадки експлуатації, як еволюціонуватиме модель конфіденційних обчислень NEAR AI після цього інциденту, а також чи вимагатимуть регулятори додаткових розкриттів від компанії.

Джерела

Цю статтю підготувала редакція COINMAG на основі перелічених вище звітів.