Włamanie do NEAR AI. Luka w SGLang objęła poufną inferencję

Co się stało w infrastrukturze NEAR AI

NEAR AI udostępnia otwarte modele przez usługę NEAR AI Cloud. Jej główną obietnicą jest poufna inferencja, czyli przetwarzanie zapytań w zaufanym środowisku wykonawczym (TEE), sprzętowo odizolowanym od operatora serwera. Według raportu firmy napastnik wykorzystał lukę zdalnego wykonania kodu w SGLang, popularnym otwartym oprogramowaniu do serwowania modeli językowych. Uzyskał w ten sposób możliwość uruchamiania kodu na jednym serwerze inferencji.

Z tego serwera napastnik przeszedł dalej. Dotarł do wewnętrznego systemu obsługującego wycofaną wcześniej usługę Private Chat i pobrał dane kont ok. 100 użytkowników. Uzyskał też dostęp do 18 agentów AI w starszym wdrożeniu NEAR AI Agents, które nie działały w enklawie. W logach znalazł klucze API dwóch klientów NEAR AI Cloud. Firma nie podaje godzin ani daty wykrycia, opisuje jedynie 8 listopada jako dzień, w którym napastnik mógł obserwować ruch na serwerze.

Dlaczego enklawa nie ochroniła zapytań

To najważniejsza część raportu, bo dotyczy samej idei poufnej inferencji. NEAR AI wyjaśnia, że enklawa chroni dane przed operatorem i systemem gospodarza, ale nie przed błędem w oprogramowaniu, które działa w jej wnętrzu. Luka w SGLang pozwoliła uruchomić kod wewnątrz serwera inferencji i sięgnąć po zapytania w trakcie przetwarzania, także poufne.

Firma zastrzega, że nie znalazła śladów dostępu do zapisanych rozmów z Private Chat ani do przesłanych plików. Nie podała jednak, ile zapytań w trybie poufnym przeszło przez zajęty serwer 8 listopada ani których klientów dotyczyły. W naszej ocenie to przypomnienie, że atestacja sprzętowa potwierdza, jaki kod działa w enklawie, ale nie gwarantuje, że ten kod jest wolny od błędów.

Co z szyfrowanym czatem w Brave Leo

Od 15 października 2026 roku Brave Leo szyfruje rozmowy z modelem GLM 5.3 Flash i przetwarza je właśnie w enklawach NEAR AI Cloud. Raport NEAR AI nie wymienia Brave wśród poszkodowanych i nie mówi, czy zapytania z Leo trafiały 8 listopada na zajęty serwer. Do czasu publikacji nie znaleźliśmy komunikatu Brave w tej sprawie.

Brave ukrywa adres IP użytkownika przed NEAR AI przez Oblivious HTTP, a Leo nie wymaga konta. Ewentualnie podejrzane zapytanie nie byłoby więc łatwo przypisać do konkretnej osoby, choć sama treść pytania mogła zawierać dane osobowe. Szczegóły tego modelu ochrony opisaliśmy w tekście o szyfrowaniu czatów w Brave Leo.

Co zrobiła firma i co mogą zrobić użytkownicy

NEAR AI wymienia w raporcie następujące działania naprawcze:

• unieważnienie wszystkich aktywnych sesji i poświadczeń administracyjnych oraz wymianę tokenów agentów,
• wyłączenie usługi Private Chat,
• wdrożenie poprawki SGLang na wszystkich serwerach inferencji i zgłoszenie luki twórcom projektu,
• rotację pozostałych poświadczeń i pełną analizę śledczą,
• powiadomienie osób, których dane lub agenci zostali objęci incydentem, oraz zapowiedź wymaganych zgłoszeń do regulatorów.

Wnioski dla firm korzystających z poufnej inferencji

Osoby z kontem w NEAR AI powinny ostrożnie traktować nieoczekiwane wiadomości, które powołują się na ich konto lub saldo. Firma zapowiada, że kontaktuje się z poszkodowanymi wyłącznie z adresu security@near.ai. Klienci, którym unieważniono klucze API, muszą przejść na nowe klucze.

Dla firm w Polsce, które rozważają wysyłanie wrażliwych danych do modeli w enklawach, wniosek jest praktyczny. Przy ocenie dostawcy trzeba pytać nie tylko o sprzęt i atestację, ale też o tempo łatania silnika inferencji, oddzielenie usług wokół enklawy i procedurę powiadamiania klientów. To drugi w ostatnich dniach incydent u dostawcy infrastruktury do uruchamiania modeli, po włamaniu do Fireworks AI.

Czego nie wiadomo

NEAR AI nie podała, kiedy dokładnie wykryła atak, jak długo napastnik miał dostęp, ile zapytań w trybie poufnym mógł zobaczyć ani którą z opisanych publicznie luk SGLang wykorzystał. Nie wiadomo też, czy incydent dotyczył użytkowników z Unii Europejskiej, co miałoby znaczenie dla obowiązku zgłoszenia naruszenia na podstawie RODO.