NEAR AI ujawnia włamanie przez niezałataną podatność w silniku SGLang

NEAR AI opublikowało 9 listopada 2026 roku raport o incydencie bezpieczeństwa, w którym ujawniło, że atakujący wykorzystał niezałataną podatność typu zdalne wykonanie kodu (RCE) w SGLang, otwartoźródłowym silniku wnioskowania stojącym za produktami Cloud i Agents, 8 listopada 2026 roku. Wyciek dotknął danych około 100 użytkowników oraz 18 starszych agentów, zanim NEAR AI przywróciło dostęp 10 listopada 2026 roku, jak podano w Raporcie o incydencie bezpieczeństwa: podatność SGLang.

Co się wydarzyło

• Atakujący wykorzystał niezałataną podatność RCE w SGLang, silniku wnioskowania, na którym działa NEAR AI, 8 listopada 2026 roku.
• Atakujący uzyskał dostęp do wewnętrznego systemu stojącego za wycofywaną funkcją Private Chat w NEAR AI.
• Dostęp uzyskano do 18 agentów w starszym wdrożeniu Agents w NEAR AI, niekorzystającym z confidential computing.
• Około 100 użytkowników miało ujawnione dane: e-mail, imię oraz informacje o planie konta lub saldzie.
• U poszkodowanych właścicieli agentów ujawniono historię czatu, ustawienia oraz logi.
• Klucze API dwóch klientów Cloud zostały ujawnione za pośrednictwem logów i od tego czasu zostały unieważnione.

Co to oznacza dla twórców AI

SGLang jest szeroko wykorzystywanym, otwartoźródłowym silnikiem do wnioskowania dużych modeli językowych, a NEAR AI opiera na nim swoje produkty Cloud i Agents. Niezałatana podatność typu zdalne wykonanie kodu w tym silniku, która doprowadziła do rzeczywistego włamania u produkcyjnego dostawcy AI, jest konkretnym ostrzeżeniem dla każdego, kto samodzielnie hostuje lub ocenia stosy wnioskowania oparte na SGLang, ponieważ podatny komponent znajduje się w infrastrukturze, z której bezpośrednio korzysta też wielu innych twórców.

Naprawa i aktualny status

• NEAR AI unieważniło wszystkie aktywne sesje oraz dane uwierzytelniające administratorów i wymieniło wszystkie tokeny agentów.
• Wycofywana funkcja Private Chat została wyłączona, a SGLang zostało załatane na wszystkich serwerach.
• Dostęp do NEAR AI Cloud przywrócono 10 listopada 2026 roku, natomiast Private Chat wciąż jest wyłączone.
• NEAR AI oświadczyło, że sam protokół blockchain NEAR nie został naruszony.

Źródła

• Security Incident Report: SGLang Vulnerability (NEAR AI, 9 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.