Near AI、100人のユーザーと18人のエージェントに影響のセキュリティ侵害を確認

SGLangの脆弱性がNear AIのインフラへの侵入経路となる

11月9日（月）に公開されたNear AIの公式セキュリティインシデント報告書によると、不正な第三者は、AIワークロードの処理に使用されるオープンソースエンジン「SGLang」の遠隔コード実行（RCE）脆弱性を悪用しました。 この脆弱性により、1台の推論サーバー上でコードの実行が可能となり、他の内部システムへの侵入経路が提供されました。

そこから侵入者は、Near AIが以前に廃止した「プライベートチャット」サービスに関連するインフラに到達し、約100人のユーザーに属するアカウント情報をダウンロードしました。盗まれた記録には氏名やメールアドレスが含まれており、一部のアカウントではサブスクリプションプランや残高情報も漏洩しました。

侵入は顧客記録にとどまりませんでした。調査チームは、同社の信頼実行環境（TEE）外にあるレガシーなNear AI Agents環境上で稼働していた18のエージェントへの不正アクセスを確認しました。取得された情報には、チャット履歴、設定情報、および運用ログが含まれていました。

また、Near AI Cloudの顧客2社についても、これらのログを通じてアプリケーション・プログラミング・インターフェース（API）キーが漏洩していました。両方の認証情報はその後無効化されています。 重要な点として、Near AIは、保存されていた「プライベートチャット」の会話内容やアップロードされたファイルへのアクセスがあったことを示す兆候は見つからなかったと報告しています。 ただし、同社は11月8日に侵害されたサーバーで処理されたリクエスト（機密モードで実行されたリクエストを含む）が傍受されていた可能性があると認めました。この開示により、確認されたデータ盗難と、処理中に情報が漏洩した可能性との区別が明確になりました。Near AIは、傍受された可能性のある機密リクエストの件数については明らかにしませんでした。

なぜ機密コンピューティングは侵害を防げなかったのか？

おそらく、この事件で最も重大な発見は、ハードウェアによって隔離された実行環境を通じて機密情報を保護するように設計された技術である「機密コンピューティング」の限界に関するものである。Near AIは、これらの保護措置では、その環境内で動作するアプリケーション内部の脆弱性に対して自動的に防御することはできないと説明した。 「機密コンピューティングは、オペレーターやホストからデータを保護します。 しかし、その環境内で実行されているソフトウェアの脆弱性に対しては保護できず、今回の事案ではまさにそれが原因でした」と同社は認めた。実質的には、攻撃者はハードウェアの分離メカニズムを突破する必要はなく、推論ソフトウェアそのものを悪用した。影響を受けたサーバー内で悪意のあるコードが実行されると、処理中のリクエストにアクセスされる可能性が生じた。

この区別が重要なのは、機密コンピューティングが本来、インフラ運用者や基盤となるホストによるアクセスを制限することを目的としているためです。機密情報を扱うソフトウェアに、悪用可能な欠陥がないことを保証するものではありません。Near AIは、今後のセキュリティ分析において、保護されたコンピューティング環境に適用されるのと同じ厳格さで、推論ソフトウェアおよび関連サービスを検証すると述べました。

Near AI、セキュリティ対応を経てクラウドサービスを復旧

検知後、Near AIはアクティブなセッションと管理者認証情報を無効化し、エージェントトークンを更新するとともに、「Private Chat」をオフラインにした。エンジニアは、すべての推論サーバーに対してSGLangの脆弱性に対する修正プログラムを適用し、追加の認証情報のローテーションを完了した。

同社はまた、フォレンジック調査を完了し、影響を受けたユーザーに通知するとともに、侵害されたAIエージェント18件すべての所有者に個別に連絡したと報告した。Near AIは、封じ込めと是正措置の後、クラウドサービスへのアクセスが復旧したことを確認した。この脆弱性はSGLangプロジェクトにも報告された。

影響を受けた顧客にはsecurity@near.aiを通じて指示が送られた一方、同社はアカウント情報や残高に言及する不審な連絡には注意するようユーザーに呼びかけました。法的に義務付けられている場合は、規制当局への通報が行われる予定です。このインシデントは、Near Protocol自体や、より広範なエコシステム内の他のサービスには影響を及ぼさなかったと報告されています。

とはいえ、今回の侵害は機密性の高いAIインフラプロバイダーにとって気掛かりな疑問を投げかけています。リクエストを処理するソフトウェアに脆弱性が残っている場合、保護された計算はどれほどプライバシーが守られているのでしょうか？ハードウェアによる分離は重要なセキュリティ境界を提供しますが、Near AIのインシデントは、機密性が最終的にはその内部で動作するアプリケーションの完全性に依存していることを示しています。

今回のNear AIの侵害は、過去数カ月にわたりBitcoin.com Newsが報じてきた、異例の連続したセキュリティインシデントの真っ只中で発生しました。 10月29日に発生したバイナンス（Binance）の63億ドルという驚異的なハッキングや、Bitgetで報告された3億8750万ドル相当のウォレット侵害、さらには約600BTCが流出したLiquid Networkの脆弱性悪用に至るまで、攻撃者たちはデジタル資産業界全体の弱点を繰り返し露呈させてきました。

さらに、Ledger、Safepal、Trezor、Keystone、Chainalysis、Gnosis Pay、Keplr-Web3Auth、Crédit Mutuel Arkéaに関連するセキュリティインシデントも懸念を広げており、新たに発覚したiOSの脆弱性は機密性の高いアプリケーションデータを脅かしています。 これらの出来事を総合すると、ますます気掛かりな現実が浮き彫りになります。すなわち、この業界が抱えるセキュリティ上の課題は、暗号資産の盗難にとどまらず、顧客記録、ソフトウェアの依存関係、認証システム、そしてデジタル資産の保護を任されたインフラストラクチャにまで深く及んでいるのです。