NEAR AI раскрывает уязвимость SGLang, отзывает два скомпрометированных API-ключа

3 мин

NEAR AI раскрыла инцидент безопасности, связанный с уязвимостью удаленного выполнения кода (remote-code-execution) в SGLang в устаревшей инфраструктуре развертывания. В отчете от 9 ноября указано, что в затронутом контексте были выявлены данные примерно 100 пользователей и 18 агентов, при этом два ключа Cloud API были скомпрометированы и отозваны. Компания не обнаружила доказательств компрометации сохраненного контента Private Chat, но отметила, что некоторые запросы, сделанные 8 ноября, могли быть просмотрены. В отчете различаются подтвержденная утечка и категории доступа, для которых нет доказательств.

Проблема была в сервисном стеке

SGLang — это инфраструктура для обслуживания языковых моделей в рамках более широкой сервисной связки, которая включает серверы моделей, маршрутизаторы, аутентификацию, логирование и пользовательское приложение. Уязвимость на этом уровне может позволить атаки до того, как пользователи взаимодействуют с ончейн-кошельками или подписывают транзакции. Удаленное выполнение кода дает возможность запускать несанкционированные инструкции в затронутой среде. Масштаб воздействия зависит от привилегий этой среды, сетевой доступности и имеющихся данных. Инцидент не затрагивает правила консенсуса блокчейна NEAR и не является общей компрометацией кошельков NEAR. Он относится к конкретной инфраструктуре обслуживания AI и ее потенциальным уязвимостям.

Сообщенный ответ NEAR AI

Команда исследовала затронутые развертывания, отозвала скомпрометированные API-ключи, устранила уязвимость и уведомила пострадавшие стороны. Эффективность зависит от закрытия всех возможных путей и ротации учетных данных везде, где они использовались. Численные оценки требуют аккуратной интерпретации: порядка 100 пользовательских данных и 18 агентов в контексте не означают, что 100 пользователей понесли убытки или что каждый запрос был доступен. Факт утечки, подтвержденный доступ и финансовые потери — это отдельные констатации.

Почему безопасность в крипто и AI пересекается

Криптокомпании все активнее используют AI для разработки, поддержки, трейдинга и операций. AI-инструменты могут обрабатывать конфиденциальную бизнес-информацию, даже если они не способны подписывать ончейн-транзакции. Меры защиты остаются критически важными: изоляция сервисов, ограничение прав доступа, мониторинг и поддержание планов реагирования на инциденты. Институциональное внедрение блокчейн-инфраструктуры, включая планы NYSE по токенизированным ценным бумагам, требует надежных офчейн-сервисов в дополнение к безопасным смарт-контрактам. Хорошо аудируемый реестр не компенсирует компрометацию серверного приложения. Растущее внимание институтов к криптоактивам, отслеживаемое по таким событиям, как притоки в Ether ETF, повышает важность операционных контролей. Эти связи даны для контекста и не подразумевают вовлеченность указанных продуктов в данный инцидент.

Последствия для пользователей и дальнейшие шаги

Затронутым пользователям следует следовать уведомлениям и рекомендациям NEAR AI. Если учетные данные пересекаются со связанными сервисами, проверьте доступ и выполните ротацию ключей. Обычные ключи кошельков NEAR не следует считать скомпрометированными только на основании этого изъяна инфраструктуры. Важен подробный технический разбор: затронутые версии, первопричина и верификация исправлений.

Материал подготовлен News Desk, редактор — Samuel Rae.