Near AI conferma violazione sicurezza: 100 utenti e 18 agenti colpiti

La vulnerabilità di SGLang apre le porte all’infrastruttura di Near AI

Secondo il rapporto ufficiale sugli incidenti di sicurezza di Near AI pubblicato lunedì 9 novembre, l’autore non autorizzato ha sfruttato una vulnerabilità di esecuzione di codice remoto (RCE) in SGLang, un motore open source utilizzato per elaborare carichi di lavoro di intelligenza artificiale. La falla ha consentito l’esecuzione di codice su un server di inferenza, fornendo un punto di accesso a ulteriori sistemi interni.

Da lì, l’intruso ha raggiunto l’infrastruttura associata al servizio Private Chat di Near AI, precedentemente dismesso, scaricando le informazioni relative agli account di circa 100 utenti. I dati sottratti includevano nomi e indirizzi e-mail, mentre per alcuni account sono stati resi noti anche i piani di abbonamento e le informazioni sul saldo.

L’intrusione si è estesa oltre i dati dei clienti. Gli investigatori hanno confermato l’accesso non autorizzato a 18 agenti operanti su una distribuzione legacy di Near AI Agents al di fuori dell’ambiente di esecuzione affidabile (TEE) dell’azienda. Le informazioni recuperate includevano cronologie delle chat, impostazioni di configurazione e registri operativi.

Anche le chiavi API (Application Programming Interface) di due clienti di Near AI Cloud sono state esposte attraverso tali registri. Entrambe le credenziali sono state successivamente revocate. È importante sottolineare che Near AI ha riferito di non aver riscontrato alcuna indicazione che le conversazioni di Private Chat archiviate o i file caricati siano stati consultati. Tuttavia, l’azienda ha riconosciuto che le richieste elaborate sul server compromesso l’8 novembre potrebbero essere state osservate, comprese quelle in modalità riservata. La comunicazione distingue il furto di dati confermato dalla potenziale esposizione delle informazioni durante l’elaborazione. Near AI non ha quantificato il numero di richieste riservate che potrebbero essere state osservate.

Perché il «confidential computing» non ha impedito la violazione?

Forse la rivelazione più significativa dell’incidente riguarda i limiti del «confidential computing», una tecnologia progettata per proteggere le informazioni sensibili attraverso ambienti di esecuzione isolati a livello hardware. Near AI ha spiegato che queste protezioni non possono difendere automaticamente dalle vulnerabilità presenti all’interno delle applicazioni in esecuzione in tali ambienti. «Il “confidential computing” protegge i dati dall’operatore e dall’host. Non protegge però da una vulnerabilità nel software in esecuzione all’interno dell’ambiente, ed è proprio ciò che è accaduto in questo caso», ha ammesso l’azienda. In termini pratici, l’autore dell’attacco ha sfruttato il software di inferenza stesso, senza dover aggirare i meccanismi di isolamento hardware. Una volta che il codice dannoso è stato eseguito all’interno del server compromesso, le richieste in fase di elaborazione sono diventate potenzialmente accessibili.

La distinzione è importante perché il confidential computing ha lo scopo di limitare l’accesso da parte degli operatori dell’infrastruttura e degli host sottostanti. Non garantisce che il software che gestisce informazioni sensibili sia privo di difetti sfruttabili. Near AI ha dichiarato che la sua analisi di sicurezza esaminerà ora il software di inferenza e i servizi correlati con lo stesso rigore applicato agli ambienti di elaborazione protetti.

Near AI ripristina i servizi cloud a seguito dell’intervento di sicurezza

A seguito del rilevamento, Near AI ha revocato le sessioni attive e le credenziali amministrative, ha sostituito i token degli agenti e ha disattivato Private Chat. Gli ingegneri hanno implementato una correzione per la vulnerabilità SGLang su tutti i server di inferenza e hanno completato ulteriori rotazioni delle credenziali.

L’azienda ha inoltre riferito di aver completato un’analisi forense, avvisato gli utenti interessati e contattato individualmente i proprietari di tutti i 18 agenti di IA compromessi. Near AI ha confermato che l’accesso ai servizi cloud è stato ripristinato dopo il contenimento e la correzione. La vulnerabilità è stata inoltre segnalata al progetto SGLang.

I clienti interessati hanno ricevuto istruzioni tramite security@near.ai, mentre l’azienda ha messo in guardia gli utenti da comunicazioni non richieste che facessero riferimento alle informazioni dell’account o ai saldi. Seguiranno notifiche alle autorità di regolamentazione laddove richiesto dalla legge. Secondo quanto riferito, l’incidente non ha interessato il Near Protocol stesso né altri servizi all’interno dell’ecosistema più ampio.

Ciononostante, la violazione solleva una domanda scomoda per i fornitori di infrastrutture di IA riservate: quanto è privato il calcolo protetto quando il software che elabora le richieste rimane vulnerabile? L’isolamento hardware offre un importante confine di sicurezza, ma l’incidente di Near AI dimostra che la riservatezza dipende in ultima analisi dall’integrità delle applicazioni che operano al suo interno.

La violazione di Near AI arriva inoltre nel contesto di una straordinaria serie di incidenti di sicurezza documentati da Bitcoin.com News negli ultimi mesi. Dall’incredibile attacco hacker da 6,3 miliardi di dollari subito da Binance il 29 ottobre e dalla violazione del wallet di Bitget, per un valore riportato di 387,5 milioni di dollari, fino all’exploit della Liquid Network che ha coinvolto quasi 600 BTC, gli aggressori hanno ripetutamente messo a nudo le debolezze del settore degli asset digitali.

Gli incidenti di sicurezza che hanno coinvolto Ledger, Safepal, Trezor, Keystone, Chainalysis, Gnosis Pay, Keplr-Web3Auth e Crédit Mutuel Arkéa hanno ulteriormente ampliato le preoccupazioni, mentre le vulnerabilità di iOS recentemente rese note minacciano i dati sensibili delle applicazioni. Nel loro insieme, questi episodi rivelano una realtà sempre più preoccupante: le sfide di sicurezza del settore vanno ben oltre il furto di criptovalute, estendendosi ai dati dei clienti, alle dipendenze software, ai sistemi di autenticazione e all’infrastruttura incaricata di proteggere gli asset digitali.