Wprowadzenie do problemu / definicja
Podatności typu remote code execution należą do najgroźniejszych klas błędów bezpieczeństwa, ponieważ pozwalają atakującemu uruchamiać własny kod na zdalnym systemie. W środowiskach AI skutki takiego incydentu są szczególnie dotkliwe, gdyż serwery inferencyjne obsługują zapytania wielu użytkowników, przetwarzają dane wejściowe, logi operacyjne oraz poświadczenia wykorzystywane do działania usług i agentów.
Incydent dotyczący silnika SGLang i infrastruktury NEAR AI pokazuje, że nawet zastosowanie mechanizmów confidential computing oraz trusted execution environment nie eliminuje ryzyka związanego z podatnościami na poziomie aplikacji. Jeśli luka znajduje się w oprogramowaniu działającym wewnątrz zaufanego środowiska, może stać się bezpośrednim punktem wejścia do danych, które miały pozostać prywatne.
W skrócie
- Napastnik wykorzystał lukę RCE w open source’owym silniku inferencyjnym SGLang.
- Kompromitacji uległ co najmniej jeden serwer inferencyjny wykorzystywany przez NEAR AI.
- Naruszenie objęło dane około 100 użytkowników powiązanych z wycofanym produktem Private Chat.
- Za atak uznano również przejęcie 18 agentów AI działających w starszym środowisku poza TEE.
- Potwierdzono ekspozycję historii czatów, ustawień, logów oraz dwóch kluczy API klientów chmury, które następnie unieważniono.
Kontekst / historia
SGLang jest komponentem wykorzystywanym w stosie inferencyjnym AI, a więc znajduje się bardzo blisko krytycznej ścieżki przetwarzania żądań użytkowników. Każda podatność w takim elemencie może prowadzić do przejęcia kontroli nad procesem odpowiedzialnym za obsługę modeli, a w konsekwencji do uzyskania dostępu do przetwarzanych danych, logów oraz zasobów wewnętrznych.
W opisywanym przypadku szczególne znaczenie ma fakt, że część infrastruktury działała w trybie poufnym z wykorzystaniem trusted execution environment. TEE może ograniczać ryzyko związane z hostem lub operatorem infrastruktury, ale nie stanowi ochrony przed błędami logicznymi i lukami w samym oprogramowaniu uruchamianym wewnątrz enklawy. To ważne przypomnienie, że confidential computing jest tylko jednym z elementów ochrony, a nie pełnym substytutem bezpiecznego wytwarzania i utrzymania aplikacji.
Incydent dotknął także starsze oraz wcześniej wycofane komponenty środowiska. To typowy problem operacyjny: systemy po deprecjacji nadal bywają dostępne z zaufanych segmentów sieci, przechowują dane historyczne i mogą zostać wykorzystane jako łatwiejszy cel do eskalacji dostępu.
Analiza techniczna
Pierwszym etapem ataku było wykorzystanie luki RCE w SGLang na jednym z serwerów inferencyjnych. Taki poziom dostępu pozwala atakującemu uruchamiać polecenia w kontekście procesu aplikacji, analizować pamięć, przeglądać logi, obserwować aktywne połączenia oraz próbować przejąć tokeny, sekrety lub inne dane znajdujące się w zasięgu skompromitowanej usługi.
Z ujawnionych informacji wynika, że atakujący mógł obserwować żądania przetwarzane przez zaatakowany serwer, w tym także żądania wykonywane w trybie poufnym. To istotna lekcja techniczna: jeśli podatne oprogramowanie działa wewnątrz TEE, naruszenie tej warstwy aplikacyjnej podważa założenia prywatności procesu. Sprzętowa izolacja nie neutralizuje skutków błędów implementacyjnych.
Po uzyskaniu dostępu do serwera inferencyjnego doszło do dalszego ruchu bocznego w infrastrukturze. Napastnik przedostał się do wewnętrznego systemu obsługującego wycofany produkt Private Chat, co może wskazywać na niewystarczającą segmentację, nadmierne uprawnienia kont serwisowych lub pozostawione ścieżki zaufania między komponentami.
Kolejnym etapem było naruszenie 18 agentów AI działających w starszym wdrożeniu poza środowiskiem TEE. To pokazuje, że heterogeniczne środowiska, w których część zasobów objęto nowoczesnymi mechanizmami ochrony, a część pozostawiono w starszym modelu bezpieczeństwa, mogą znacząco zwiększać powierzchnię ataku.
W odpowiedzi na incydent organizacja przeprowadziła działania obejmujące unieważnienie aktywnych sesji, rotację poświadczeń administracyjnych i tokenów agentów, odłączenie Private Chat, wdrożenie poprawek dla SGLang na serwerach inferencyjnych oraz przegląd forensic. Taki zakres reakcji sugeruje, że incydent traktowano jako naruszenie obejmujące zarówno systemy wykonawcze, jak i warstwę tożsamości oraz sekretów.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem incydentu jest naruszenie poufności danych. Ujawnieniu mogły podlegać informacje o kontach użytkowników, historia interakcji, logi, ustawienia agentów oraz treść żądań przetwarzanych przez system. W środowiskach AI jest to szczególnie niebezpieczne, ponieważ dane wejściowe użytkowników często zawierają informacje biznesowe, kod źródłowy, dane operacyjne lub treści objęte tajemnicą przedsiębiorstwa.
Drugim istotnym ryzykiem jest ekspozycja kluczy API oraz innych poświadczeń. Nawet ograniczona liczba ujawnionych kluczy wskazuje na problem z higieną sekretów i przechowywaniem danych operacyjnych w miejscach dostępnych po kompromitacji hosta. Tego typu dane mogą zostać wykorzystane do dalszych nadużyć, pivotingu lub uzyskania dostępu do usług zewnętrznych.
Incydent ma również znaczenie reputacyjne. Pokazuje, że hasła związane z prywatnym AI i confidential inference mogą być błędnie interpretowane jako gwarancja pełnej ochrony danych. W praktyce bezpieczeństwo takiego środowiska zależy od całego stosu technologicznego, w tym jakości kodu aplikacyjnego, konfiguracji, segmentacji sieci i monitoringu.
Nie mniej ważne jest ryzyko wynikające z utrzymywania starszych lub wycofanych systemów. Komponenty po deprecjacji często otrzymują mniej uwagi operacyjnej, ale nadal przechowują dane, logi i interfejsy, które po przejęciu jednego hosta mogą stać się dogodnym celem dalszej eksploracji.
Rekomendacje
Organizacje wykorzystujące silniki inferencyjne AI powinny traktować je jak systemy krytyczne o wysokiej ekspozycji. Oznacza to priorytetowe zarządzanie podatnościami, regularne przeglądy zależności, testy bezpieczeństwa oraz szybkie wdrażanie poprawek dla komponentów dostępnych z sieci lub obsługujących dane klientów.
- Wdrożyć segmentację sieci i ograniczyć komunikację east-west między serwerami inferencyjnymi a systemami wewnętrznymi.
- Stosować zasadę najmniejszych uprawnień dla kont serwisowych, agentów i procesów administracyjnych.
- Wyeliminować jawne sekrety z logów, promptów diagnostycznych i danych telemetrycznych.
- Rotować klucze API, tokeny i poświadczenia po każdym incydencie lub podejrzeniu kompromitacji.
- Przeprowadzić przegląd starszych i wycofanych systemów pod kątem aktywnych ścieżek zaufania oraz pozostawionych danych.
- Monitorować anomalia na serwerach inferencyjnych, w tym nietypowe procesy, odczyt logów, próby dostępu do sekretów i wzrost ruchu wewnętrznego.
W środowiskach confidential computing należy przyjąć model defense-in-depth. Trusted execution environment może być ważnym elementem ochrony, ale nie zastąpi hardeningu aplikacji, kontroli dostępu, separacji ról i skutecznego wykrywania naruszeń.
Podsumowanie
Incydent z wykorzystaniem luki RCE w SGLang przeciwko infrastrukturze NEAR AI stanowi ważne ostrzeżenie dla całego rynku AI security. Pokazuje, że przejęcie serwera inferencyjnego może prowadzić nie tylko do odczytu przetwarzanych danych, ale także do ruchu bocznego, kompromitacji starszych zasobów i naruszenia sekretów klientów.
Najważniejszy wniosek jest jednoznaczny: confidential computing nie eliminuje ryzyka związanego z podatnościami aplikacyjnymi. Jeżeli wadliwe oprogramowanie działa wewnątrz zaufanego środowiska, właśnie ono może stać się najkrótszą drogą do danych, które miały pozostać prywatne.
Źródła
- The Hacker News — SGLang RCE Exploit Breaches NEAR AI, Steals Data From 18 Agents and About 100 Users — https://thehackernews.com/2026/11/sglang-rce-exploit-breaches-near-ai.html
- NEAR AI — Security Incident Report: SGLang Vulnerability — https://near.ai/blog/security-incident-report-sglang-vulnerability