Near AI gehackt: Sglang-Lücke trifft 100 Nutzer und 18 KI-Agenten

Sglang-Lücke öffnet die Tür zur Infrastruktur von Near AI

Laut dem Sicherheitsbericht von Near AI vom 9. November nutzte der Angreifer eine Lücke in Sglang aus, die das Ausführen von Code aus der Ferne erlaubte. Sglang ist eine Open-Source-Software, die auf den Servern von Near AI die Anfragen an KI-Modelle verarbeitet. Über die Lücke konnte der Angreifer Code auf einem dieser Inferenzserver ausführen und sich von dort Zugang zu weiteren internen Systemen verschaffen.

So gelangte er an ein internes System hinter dem bereits eingestellten Dienst „Private Chat“ und lud Kontodaten von rund 100 Nutzern herunter. Dazu gehören Namen und E-Mail-Adressen, bei einem Teil der Konten auch das gebuchte Abo und der Kontostand.

Darüber hinaus bestätigte die Untersuchung einen Zugriff auf 18 Agenten, die auf einer älteren Bereitstellung von Near AI Agents liefen und damit außerhalb der vertrauenswürdigen Ausführungsumgebung (TEE) des Unternehmens. Abgerufen wurden Chatverläufe, Einstellungen und Protokolle.

Über diese Protokolle lagen bei zwei Kunden von Near AI Cloud auch API-Schlüssel offen, also Zugangsschlüssel für Programmierschnittstellen. Beide Schlüssel sind inzwischen gesperrt. Hinweise darauf, dass gespeicherte Unterhaltungen aus „Private Chat“ oder hochgeladene Dateien abgerufen wurden, fand Near AI nach eigenen Angaben nicht. Allerdings räumt das Unternehmen ein, dass der Angreifer am 8. November Anfragen mitlesen konnte, die auf dem betroffenen Server verarbeitet wurden, auch solche im vertraulichen Modus. Der Bericht trennt damit zwischen bestätigtem Datendiebstahl und einer möglichen Einsicht in Daten während der Verarbeitung. Wie viele vertrauliche Anfragen betroffen sein könnten, nennt Near AI nicht.

Warum Confidential Computing den Vorfall nicht verhinderte

Die wohl wichtigste Lehre aus dem Vorfall betrifft die Grenzen von Confidential Computing. Die Technik soll sensible Daten schützen, indem sie Programme in abgeschotteten Bereichen der Hardware ausführt. Gegen Schwachstellen in den Anwendungen, die in diesen Bereichen laufen, helfe das aber nicht, erklärte Near AI.

„Confidential Computing schützt Daten vor dem Betreiber und dem Host. Es schützt nicht vor einer Schwachstelle in der Software, die innerhalb der Umgebung läuft, und genau das ist hier passiert“, schrieb das Unternehmen. Der Angreifer musste die Abschottung der Hardware also gar nicht überwinden, er nutzte die Inferenzsoftware selbst aus. Sobald sein Code auf dem Server lief, hatte er Zugriff auf die Anfragen, die dort gerade verarbeitet wurden.

Die Unterscheidung ist wichtig. Confidential Computing soll verhindern, dass Betreiber der Infrastruktur oder der zugrunde liegende Host auf Daten zugreifen, garantiert aber nicht, dass die Software selbst fehlerfrei ist. Near AI will Inferenzsoftware und die Dienste rund um die geschützte Umgebung künftig mit derselben Sorgfalt prüfen wie die geschützte Umgebung selbst. Code, Abhängigkeiten und Konfigurationen seiner vertraulichen Inferenz bleiben öffentlich, damit jeder prüfen kann, was dort läuft.

Near AI stellt Cloud-Dienste nach Sicherheitsmaßnahmen wieder her

Nach der Entdeckung beendete Near AI alle aktiven Sitzungen, sperrte die Zugangsdaten der Administratoren, ersetzte sämtliche Token der Agenten und nahm „Private Chat“ vom Netz. Auf allen Inferenzservern spielte das Unternehmen eine Korrektur für die Sglang-Lücke ein und tauschte anschließend alle übrigen Zugangsdaten aus.

Inzwischen hat Near AI nach eigenen Angaben eine vollständige forensische Untersuchung abgeschlossen, die betroffenen Nutzer benachrichtigt und die Eigentümer aller 18 Agenten einzeln kontaktiert. Der Zugang zu Near AI Cloud ist wiederhergestellt, die Lücke hat das Unternehmen an das Sglang-Projekt gemeldet. Soweit vorgeschrieben, sollen Meldungen an Behörden folgen. Sind Nutzer aus der EU betroffen, gilt die Datenschutz-Grundverordnung, nach deren Artikel 33 Datenpannen in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden sind.

Betroffene haben Anweisungen von der Adresse security@near.ai erhalten. Zugleich rät Near AI zur Vorsicht bei unaufgeforderten Nachrichten, die sich auf Konten oder Guthaben beziehen. Near AI gehört zum Ökosystem des Near-Protokolls, das die Near Stiftung mit Sitz im Schweizer Zug fördert.

Der Vorfall wirft eine unbequeme Frage für Anbieter vertraulicher KI-Infrastruktur auf, nämlich wie privat geschützte Datenverarbeitung ist, wenn die Software, die Anfragen verarbeitet, angreifbar bleibt. Die Abschottung durch Hardware ist eine wichtige Barriere, doch der Fall Near AI zeigt, dass die Vertraulichkeit am Ende von der Sicherheit der Anwendungen abhängt, die darin laufen.

Der Angriff reiht sich zudem in eine ungewöhnliche Serie von Sicherheitsvorfällen seit September ein, über die Bitcoin.com News berichtet hat. Dazu zählen der Hack bei Binance vom 29. Oktober mit einer Beute von 6,3 Milliarden Dollar (rund 5,65 Milliarden Euro) und der Angriff auf Wallets von Bitget im September mit einem Schaden von rund 388 Millionen Dollar (rund 348 Millionen Euro), nach dem die Börse Bitcoin-Auszahlungen erst wieder aufnehmen musste. Nach einem Exploit im Liquid Network fehlten fast 600 BTC, die das Netzwerk inzwischen ersetzt hat.

Auch bei Ledger, Safepal, Trezor, Keystone, Chainalysis, Gnosis Pay, Keplr und Web3Auth sowie der Bank Crédit Mutuel Arkéa gab es Sicherheitsvorfälle. Hinzu kommt eine Lücke in Apples Betriebssystem iOS, vor der Binance am 10. November warnte, weil sie Daten sensibler Apps offenlegen könnte. Zusammen zeigen die Fälle, dass die Sicherheitsprobleme der Branche weit über gestohlene Kryptowährungen hinausreichen und Kundendaten, Softwareabhängigkeiten, Anmeldesysteme und die Infrastruktur für die Verwahrung digitaler Vermögenswerte betreffen.