NEAR AI hat eine Sicherheitsverletzung offengelegt, bei der ein Angreifer eine Schwachstelle in Software von Drittanbietern ausnutzte, die die Server des Unternehmens betreibt, in interne Systeme eindrang und Kontodaten von rund 100 Nutzern sowie Daten zu 18 KI-Agenten herunterlud.

In einem am 9. November veröffentlichten Sicherheitszwischenbericht erklärte das Unternehmen, der Eindringling habe eine Remote-Code-Execution-Schwachstelle ausgenutzt – eine Schwachstelle, die einem Angreifer erlaubt, beliebige Befehle auf einem Zielsystem auszuführen – in SGLang, einer Open-Source-Engine, mit der KI-Modelle betrieben und Antworten auf Nutzeranfragen generiert werden. Durch die Ausnutzung konnte der Angreifer Befehle auf einem Inferenz-Server ausführen und anschließend auf andere Teile der Infrastruktur von NEAR AI zugreifen.

Ermittler verfolgten das Eindringen auf ein internes System zurück, das mit Private Chat verbunden war, einer Funktion, die das Unternehmen bereits eingestellt hatte. Der Vorfall zeigt, dass Daten eingestellter Produkte innerhalb der Infrastruktur eines Unternehmens weiterhin erreichbar bleiben können. Laut dem Zwischenbericht des Unternehmens lud der Angreifer die Namen und E-Mail-Adressen von rund 100 Nutzern sowie für einige von ihnen Angaben zu Abonnement und Kontostand herunter.

Die Verletzung erreichte auch eine ältere Bereitstellung von Near AI Agents, bei der auf 18 Agenten zugegriffen wurde und deren Chatverläufe, Einstellungen und Protokolle abgerufen wurden. Diese Agenten liefen laut Bericht nicht innerhalb der Confidential-Computing-Umgebung von NEAR AI, die Informationen vor dem Betreiber der Server abschirmen soll.

Zudem legten Protokolle API-Schlüssel der NEAR AI Cloud von zwei Kunden offen. Diese Schlüssel fungieren wie digitale Zugangsdaten, mit denen Anwendungen auf Cloud-Dienste zugreifen; Near AI erklärte, beide seien widerrufen worden, sagte aber nicht, ob der Angreifer sie genutzt hat.

Das Unternehmen sagte außerdem, dass im vertraulichen Modus verarbeitete Anfragen vom 8. November für den Angreifer sichtbar gewesen sein könnten, obwohl die Untersuchung keinen Hinweis darauf ergab, dass gespeicherte Private-Chat-Konversationen oder hochgeladene Dateien abgerufen wurden. Der bestätigte Datendiebstahl betraf Kontodaten und Daten veralteter Agenten, während die Offenlegung laufender vertraulicher Anfragen eine von der Untersuchung identifizierte Möglichkeit bleibt.

Confidential AI hat ein Software-Problem

Near AI ist Teil des größeren Near-Ökosystems, das neben seinen Blockchain-Ambitionen auch Datenschutz bei KI bewirbt. Sein Cloud-Produkt nutzt Trusted Execution Environments (TEEs), um KI-Prompts verschlüsselt und isoliert von Serverbetreibern zu halten, selbst während die Modelle sie verarbeiten.

Hardware-Isolation garantiert jedoch nicht, dass die Software innerhalb der geschützten Umgebung sicher ist. "Es schützt nicht gegen eine Schwachstelle in der Software, die innerhalb der Umgebung läuft", räumte Near AI ein und erklärte, die SGLang-Schwachstelle habe es dem Angreifer ermöglicht, dort Code auszuführen, wo vertrauliche Anfragen verarbeitet wurden.

Für ein Unternehmen, das Datenschutz als Kernfunktion verkauft, ist diese Software-Lücke eine erhebliche Einschränkung. Im Oktober gab Near AI bekannt, dass Leos Browser-Assistent von Brave seine Confidential-Inferenz-Infrastruktur für ein unterstütztes KI-Modell nutzt, obwohl der Zwischenbericht Brave-Nutzer nicht unter den Betroffenen nennt.

SGLang war bereits von Sicherheitsforschern untersucht worden. Im Juli dokumentierte das CERT Coordination Center der Carnegie Mellon University, die Schwachstellen-Koordinierungsstelle des Software Engineering Institute der Universität, sechs Schwachstellen im Projekt, darunter Fehler, die Angreifern – je nach Serverkonfiguration – die Ausführung von Befehlen oder die Offenlegung von Zugangsdaten ermöglichen konnten. Near AI nannte die in diesem Vorfall ausgenutzte SGLang-Schwachstelle nicht, sodass es keine Grundlage gibt, die Verletzung mit diesen früheren Offenlegungen in Verbindung zu bringen. Das Unternehmen meldete die Schwachstelle an die Entwickler von SGLang.

Near AI erklärte, es habe den Vorfall rasch eingedäm. "Nach der Erkennung haben wir alle aktiven Sitzungen und administrativen Zugangsdaten widerrufen, alle Agent-Token ersetzt, Private Chat offline genommen und einen Fix für die SGLang-Schwachstelle auf allen Inferenz-Servern ausgerollt", erklärte das Projekt. "Wir haben die Erneuerung aller verbleibenden Zugangsdaten und eine vollständige forensische Prüfung abgeschlossen. Wir haben Nutzer informiert, deren Kontodaten oder Agenten nach unserer Bestätigung abgerufen wurden, und werden alle erforderlichen regulatorischen Meldungen machen."

Das Unternehmen warnte die Nutzer zudem, wachsam gegenüber unaufgeforderten Nachrichten zu sein, die ihre Near-AI-Konten oder Kontostände erwähnen, und erklärte, es habe die Eigentümer aller 18 betroffenen Agenten einzeln kontaktiert. Weitere Details könnten aus zwei Kanälen hervorgehen: den regulatorischen Meldungen, die Near AI wo erforderlich ankündigte, und etwaigen Empfehlungen der SGLang-Entwickler, denen das Unternehmen die konkrete Schwachstelle meldete, ohne sie öffentlich zu benennen.