黑客利用一款开源 AI 引擎的漏洞入侵 NEAR AI，获取约 100 名用户的账户信息及 18 个智能体的数据

NEAR 协议生态的人工智能部门 NEAR AI 表示，一名黑客于 11 月 8 日通过 SGLang 中的一个漏洞侵入其系统；SGLang 是其服务器用于运行 AI 模型的开源引擎。该公司在周一发布的报告中称，攻击者在一台推理服务器上运行了代码，并由此进入了 Private Chat 背后的一个内部系统，该功能此前已被弃用。

约 100 名用户的姓名和电子邮件地址被下载，部分用户的套餐和余额信息也被获取。攻击者还进入了旧版 NEAR AI Agents 部署上的 18 个智能体，该部署并未运行在公司的机密计算环境中，导致这些智能体的聊天记录、设置和日志遭泄露。两名 NEAR AI Cloud 客户的 API 密钥在日志中暴露，这些密钥已被吊销。据该公司称，该服务器在 11 月 8 日处理的请求（包括机密模式下的请求）也可能已被攻击者看到。

NEAR AI 表示，已切断该访问途径，在所有推理服务器上修补了该漏洞，轮换了凭证，将 Private Chat 下线，并已联系受影响的用户。该公司承认，其机密计算“无法防范环境内部运行的软件中存在的漏洞”。