NEAR AI 遭 SGLang 漏洞攻击约百人信息泄露

据 Woofun AI 消息，11 月 9 日 发布安全报告称，攻击者于 11 月 8 日利用其推理服务器运行的 远程代码执行漏洞获取控制权。调查确认攻击者从弃用的 Private Chat 后端下载了约 100 名用户的邮箱、姓名及部分套餐余额信息，并访问了 18 个未运行 TEE 环境的旧版智能体，获取了相关聊天记录、设置与日志。两名 Cloud 客户的 API 密钥因暴露于日志中已被撤销。

此外，攻击者可能观察到服务器处理的用户请求，包括保密模式下的内容，但报告指出未发现存储的对话或上传文件被访问。NEAR AI 表示已撤销全部活跃会话与管理凭证，更换智能体令牌，下线 Private Chat 服务，并在所有推理服务器部署修复，同时完成了凭证轮换与取证审查。公司通知了受影响用户并向 SGLang 项目报告了该漏洞，同时说明 TEE 无法防护环境内部软件漏洞。