NEAR AI 公布 SGLang 安全事件並撤銷暴露的 API 金鑰

簡報： NEAR AI 發布了一份涉及舊版部署中 SGLang 漏洞的安全事件報告。該公司表示已撤銷暴露的憑證並解決了問題，同時承認某些請求可能已被觀察到。其調查結果區分了確認的暴露與沒有證據顯示被訪問的數據。

NEAR AI 的安全披露突顯了不斷擴大的 AI 代理行業中的一個熟悉的危險：複雜的應用程序可能會繼承其運行基礎設施中的嚴重問題。

在 11 月 9 日的事件報告中，該組織描述了一個影響舊版部署基礎設施的 SGLang 遠程代碼執行漏洞。調查發現大約 100 條用戶詳細信息和 18 個代理在受影響的上下文中，並且有兩個 Cloud API 金鑰被暴露並隨後撤銷。

該公司表示沒有證據顯示存儲的私人聊天內容已被破壞。它還警告說，11 月 8 日的一些請求可能已被觀察到。這些並不是矛盾的陳述：調查人員可能在一類訪問中找不到證據，但無法排除另一類訪問。

問題出在服務堆棧中

AI 應用程序是由多個組件組成的：模型伺服器、請求路由器、身份驗證系統、日誌記錄和面向用戶的產品。SGLang 是用於提供語言模型的基礎設施的一部分。這一層的缺陷可能會在用戶與鏈上錢包互動或簽署交易之前為攻擊者創造機會。

遠程代碼執行問題可能特別嚴重，因為它們可能允許攻擊者在受影響的環境中運行未經授權的指令。隨之而來的範圍取決於該環境的權限、網絡訪問和可用數據。

對於讀者來說，這意味著該事件不應與 NEAR 區塊鏈共識規則中的漏洞或所有 NEAR 錢包的一般妥協混淆。該報告涉及特定的 AI 服務基礎設施及其潛在的暴露。

NEAR AI 表示它所做的

根據發布的說明，團隊調查了受影響的部署，撤銷了兩個暴露的 API 金鑰，修復了漏洞並通知了受影響方。這些是必要的遏制步驟，儘管修復的有效性取決於是否還有其他途徑保持開放，以及憑證是否在使用的地方進行了輪換。

報告中的數字計數也需要仔細解釋。大約 100 條用戶詳細信息和 18 個代理並不意味著 100 名用戶損失了資金，或者每個相關請求都被閱讀。暴露、確認訪問和財務損失是應該分開的發現，不應合併為一個耸人聽聞的主張。

為什麼加密和 AI 安全重疊

加密公司正在將 AI 整合到開發、支持、交易和運營工作流程中。AI 工具最終可能會處理私營商業信息，即使它無法直接簽署鏈上交易。這提高了傳統安全措施的價值：隔離服務、限制憑證、監控訪問和維護事件響應計劃。

對於包括 NYSE 的代幣化證券計劃在內的區塊鏈基礎設施的更廣泛機構推動，依賴於的不僅僅是智能合約安全。鏈下服務也必須穩健。一個經過良好審計的帳本無法彌補被破壞的應用伺服器。

同樣，對加密資產日益增長的機構關注，NewsBTC 通過以太坊 ETF 流入等發展進行跟蹤，使得運營控制變得越來越重要。這些聯繫是上下文性的，而不是聲稱這些產品參與了這一事件。

用戶應該做什麼

受影響的用戶應依賴 NEAR AI 的直接通知和發布的指導。在他們使用憑證的相關服務中，審查訪問權限和輪換金鑰是明智的。用戶不應假設普通的 NEAR 錢包金鑰因為公司報告了基礎設施缺陷而被暴露。

最重要的後續行動是清晰的技術事後分析，解釋受影響的版本、根本原因和修復的驗證。對於圍繞金融構建 AI 代理的公司來說，這一事件提醒我們，基礎設施安全和坦誠披露都是贏得信任的一部分。

*撰寫者：新聞編輯部，編輯：Samuel Rae。