黑客利用一款開源 AI 引擎的漏洞入侵 NEAR AI，獲取約 100 名用戶的帳戶資訊及 18 個智能體的數據

NEAR 協議生態的人工智能部門 NEAR AI 表示，一名黑客於 11 月 8 日通過 SGLang 中的一個漏洞侵入其系統；SGLang 是其伺服器用於運行 AI 模型的開源引擎。該公司在週一發佈的報告中稱，攻擊者在一台推理伺服器上運行了代碼，並由此進入了 Private Chat 背後的一個內部系統，該功能此前已被棄用。

約 100 名用戶的姓名和電郵地址被下載，部分用戶的套餐和餘額資訊也被獲取。攻擊者還進入了舊版 NEAR AI Agents 部署上的 18 個智能體，該部署並未運行在公司的機密計算環境中，導致這些智能體的聊天記錄、設置和日誌遭泄露。兩名 NEAR AI Cloud 客戶的 API 密鑰在日誌中暴露，這些密鑰已被吊銷。據該公司稱，該伺服器在 11 月 8 日處理的請求（包括機密模式下的請求）也可能已被攻擊者看到。

NEAR AI 表示，已切斷該訪問途徑，在所有推理伺服器上修補了該漏洞，輪換了憑證，將 Private Chat 下線，並已聯繫受影響的用戶。該公司承認，其機密計算「無法防範環境內部運行的軟件中存在的漏洞」。