Wprowadzenie do problemu / definicja
Podatności typu remote code execution, czyli RCE, należą do najpoważniejszych błędów bezpieczeństwa, ponieważ umożliwiają zdalne uruchomienie dowolnego kodu na zaatakowanym systemie. W środowiskach sztucznej inteligencji ryzyko jest szczególnie wysokie, ponieważ serwery inferencyjne obsługują żądania użytkowników, komunikują się z innymi usługami i często przetwarzają dane wrażliwe.
Incydent dotyczący SGLang i NEAR AI pokazuje, iż choćby wykorzystanie mechanizmów confidential computing oraz trusted execution environment nie gwarantuje pełnej ochrony, jeżeli podatność znajduje się w samym oprogramowaniu działającym wewnątrz chronionego środowiska.
W skrócie
NEAR AI ujawniło incydent bezpieczeństwa związany z wykorzystaniem luki RCE w otwartoźródłowym silniku inferencyjnym SGLang. Atakujący uzyskał możliwość wykonania kodu na jednym z serwerów inferencyjnych, a następnie rozszerzył dostęp na kolejne elementy infrastruktury.
- naruszenie objęło dane kont około 100 użytkowników usługi Private Chat,
- atakujący uzyskał dostęp do 18 agentów AI działających w starszym wdrożeniu,
- ujawniono dwa klucze API klientów usługi chmurowej, które następnie unieważniono,
- firma wdrożyła poprawki, przeprowadziła rotację poświadczeń i zakończyła przegląd powłamaniowy.
Kontekst / historia
Sprawa została opisana w listopadzie 2026 roku. Z ujawnionych informacji wynika, iż źródłem incydentu była krytyczna podatność w SGLang, komponencie odpowiedzialnym za obsługę inferencji modeli AI. Po przejęciu jednego z serwerów intruz uzyskał możliwość dalszego poruszania się po środowisku.
Szczególnie istotny jest architektoniczny kontekst tego incydentu. Część usług NEAR AI działała w modelu confidential inference, wykorzystując TEE do ochrony danych podczas przetwarzania. Firma podkreśliła jednak, iż tego typu środowisko chroni przed zagrożeniami ze strony operatora lub hosta, ale nie eliminuje skutków błędów znajdujących się w aplikacji uruchamianej wewnątrz enklawy.
Atakujący dotarł również do starszych komponentów środowiska, w tym do powiązań z wycofywaną usługą Private Chat oraz agentami AI spoza modelu confidential computing. To kolejny przykład, iż systemy legacy pozostają jednym z najczęstszych wektorów rozszerzenia kompromitacji.
Analiza techniczna
Według dostępnych informacji wektorem wejścia była luka RCE w SGLang, która umożliwiła uruchomienie kodu na pojedynczym serwerze inferencyjnym. To krytyczny punkt infrastruktury, ponieważ właśnie tam trafiają żądania użytkowników, odpowiedzi modeli, logi operacyjne i dane uwierzytelniające wykorzystywane przez współpracujące usługi.
Po uzyskaniu wykonania kodu napastnik mógł obserwować przetwarzane żądania, także te uruchamiane w modelu poufnym. Incydent pokazuje więc wyraźnie, iż ochrona danych „w użyciu” nie jest wystarczająca, jeżeli sam proces aplikacyjny zostanie skompromitowany przez błąd w warstwie inferencyjnej.
Dalsza analiza wykazała, iż intruz uzyskał dostęp do systemu związanego z usługą Private Chat. Pobranie danych objęło około 100 kont użytkowników, w tym adresy e-mail, imiona i nazwiska, a w części przypadków również informacje o planie taryfowym i saldzie. Jednocześnie firma poinformowała, iż nie potwierdzono dostępu do zapisanych rozmów ani przesłanych plików tej usługi.
Osobnym skutkiem naruszenia był dostęp do 18 agentów AI działających w starszym wdrożeniu bez TEE. Z tych zasobów pozyskano historię rozmów, ustawienia i logi. To właśnie w logach znajdowały się również dwa klucze API klientów, co podkreśla problem niewłaściwego obchodzenia się z sekretami w systemach AI i cloud-native.
W reakcji na incydent NEAR AI unieważniło aktywne sesje oraz poświadczenia administracyjne, wymieniło tokeny agentów, wyłączyło usługę Private Chat, wdrożyło poprawkę dla SGLang na wszystkich serwerach inferencyjnych i przeprowadziło pełny przegląd forensyczny.
Konsekwencje / ryzyko
Najważniejszym wnioskiem z tego zdarzenia jest to, iż confidential inference nie rozwiązuje samodzielnie problemu ochrony danych. Bezpieczny sprzęt i izolacja pamięci nie zastępują bezpiecznego kodu, skutecznego zarządzania poprawkami oraz segmentacji środowiska.
Dla użytkowników indywidualnych incydent oznacza ryzyko ekspozycji danych identyfikacyjnych i potencjalnych kampanii phishingowych. Dla właścicieli agentów AI zagrożeniem jest wyciek historii interakcji, konfiguracji, promptów systemowych, logów i osadzonych sekretów.
- silnik inferencyjny należy traktować jak komponent uprzywilejowany i wysokiego ryzyka,
- starsze wdrożenia oraz systemy wycofywane często pozostają najsłabszym ogniwem architektury,
- logi operacyjne mogą mieć wartość porównywalną z bazą danych, jeżeli zawierają sekrety lub dane użytkowników,
- TEE ogranicza część zagrożeń, ale nie zastępuje zasad defense in depth.
Rekomendacje
Organizacje rozwijające lub utrzymujące platformy AI powinny potraktować ten incydent jako ostrzeżenie dotyczące całego stosu inferencyjnego, a nie wyłącznie jednego podatnego komponentu.
- objąć serwery inferencyjne priorytetowym programem zarządzania podatnościami i szybkim wdrażaniem poprawek,
- prowadzić pełną inwentaryzację wersji wykorzystywanych komponentów open source,
- zakładać możliwość kompromitacji kodu działającego wewnątrz TEE i wzmacniać segmentację sieciową,
- usuwać z logów klucze API, tokeny, dane sesyjne i wrażliwe treści promptów,
- stosować automatyczną redakcję sekretów, szyfrowanie i krótką retencję logów,
- regularnie dekomisjonować starsze wdrożenia i odcinać je od innych segmentów infrastruktury,
- przygotować procedury reagowania specyficzne dla środowisk AI, obejmujące rotację sekretów, izolację instancji oraz analizę potencjalnego wycieku danych.
Podsumowanie
Incydent w NEAR AI pokazuje, iż bezpieczeństwo systemów AI nie kończy się na wdrożeniu confidential computing. Krytyczna luka RCE w SGLang pozwoliła na wykonanie kodu na serwerze inferencyjnym, dostęp do przetwarzanych żądań i dalsze naruszenie starszych elementów infrastruktury.
Dla operatorów środowisk opartych na modelach językowych to ważna lekcja: warstwa inferencyjna, logowanie, usługi legacy i zarządzanie sekretami muszą być traktowane jako najważniejsze obszary obrony. W przeciwnym razie choćby zaawansowane mechanizmy izolacji nie zatrzymają skutków kompromitacji aplikacji działającej wewnątrz zaufanego środowiska.
Źródła
- The Hacker News — https://thehackernews.com/2026/11/sglang-rce-exploit-breaches-near-ai.html
- NEAR AI Security Incident Report: SGLang Vulnerability — https://near.ai/blog/security-incident-report-sglang-vulnerability