OpenClaw wykryto lukę „samodzielnego ataku”: błędne wykonanie polecenia Bash spowodowało wyciek kluczy
BlockBeats donosi, że 5 marca firma zajmująca się bezpieczeństwem Web3, GoPlus, poinformowała, iż narzędzie do rozwoju AI OpenClaw niedawno doświadczyło incydentu bezpieczeństwa związanego z „auto-atakiem”. Podczas wykonywania zautomatyzowanych zadań, system podczas wywoływania polecenia Shell w celu utworzenia GitHub Issue skonstruował błędną komendę Bash, co przypadkowo wywołało wstrzyknięcie polecenia i doprowadziło do ujawnienia wielu wrażliwych zmiennych środowiskowych.
W trakcie incydentu, ciąg znaków wygenerowany przez AI zawierał słowo set otoczone odwrotnymi apostrofami, które zostało zinterpretowane przez Bash jako zamiana polecenia i automatycznie wykonane. Ponieważ Bash, wykonując set bez parametrów, wyświetla wszystkie aktualne zmienne środowiskowe, ostatecznie ponad 100 linii wrażliwych informacji (w tym klucze Telegram, tokeny uwierzytelniające itp.) zostało bezpośrednio zapisanych w GitHub Issue i publicznie ujawnionych.
GoPlus zaleca, aby w scenariuszach automatyzacji lub testowania AI, w miarę możliwości korzystać z wywołań API zamiast bezpośredniego łączenia poleceń Shell, stosować zasadę najmniejszych uprawnień do izolowania zmiennych środowiskowych, wyłączać tryby wykonywania o wysokim ryzyku oraz wprowadzać mechanizmy ręcznej weryfikacji przy kluczowych operacjach.
Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.
Może Ci się również spodobać
CEO Apple, Tim Cook, po raz pierwszy wystosował wiadomość do wszystkich pracowników: premiera iPhone w przyszłym tygodniu będzie „niezwykła”.
Apple Ternus, jako nowy CEO, w swoim pierwszym liście skierowanym do wszystkich pracowników napisał: „W przyszłym tygodniu czeka nas ważna premiera, która będzie naprawdę niezwykła. Również ekscytuje mnie przyszłość po tym wydarzeniu, w tym niesamowite produkty będące obecnie w fazie rozwoju oraz te, których jeszcze sobie nie wyobrażamy, ale które wspólnie stworzymy i wymyślimy w przyszłości.”
Dane: ETH spadł poniżej 2400 dolarów
Konflikt między USA a Iranem ponownie wybuchł, ceny ropy Brent i WTI gwałtownie wzrosły w krótkim czasie.
Ceny krypto
Więcej
