OpenClaw xuất hiện lỗ hổng "tự tấn công": th ực thi nhầm lệnh Bash dẫn đến rò rỉ khóa bí mật
BlockBeats đưa tin, ngày 5 tháng 3, công ty bảo mật Web3 GoPlus đã đăng bài cho biết, công cụ phát triển AI OpenClaw gần đây đã gặp phải một sự cố bảo mật "tự tấn công". Khi thực hiện nhiệm vụ tự động hóa, hệ thống đã tạo ra lệnh Bash sai trong quá trình gọi lệnh Shell để tạo GitHub Issue, vô tình kích hoạt việc tiêm lệnh, dẫn đến việc tiết lộ hàng loạt biến môi trường nhạy cảm.
Trong sự kiện này, chuỗi ký tự do AI tạo ra chứa set được bao quanh bởi dấu nháy ngược, được Bash hiểu là thay thế lệnh và tự động thực thi. Do Bash sẽ xuất ra tất cả biến môi trường hiện tại khi thực thi set mà không có tham số, cuối cùng hơn 100 dòng thông tin nhạy cảm (bao gồm khóa Telegram, Token xác thực, v.v.) đã bị ghi trực tiếp vào GitHub Issue và công khai.
GoPlus khuyến nghị, trong các tình huống phát triển hoặc kiểm thử tự động hóa AI, nên sử dụng API để thay thế việc ghép lệnh Shell trực tiếp, đồng thời tuân thủ nguyên tắc quyền hạn tối thiểu để cách ly biến môi trường, vô hiệu hóa chế độ thực thi rủi ro cao, và bổ sung cơ chế kiểm duyệt thủ công cho các thao tác quan trọng.
Tuyên bố miễn trừ trách nhiệm: Mọi thông tin trong bài viết đều thể hiện quan điểm của tác giả và không liên quan đến nền tảng. Bài viết này không nhằm mục đích tham khảo để đưa ra quyết định đầu tư.
Bạn cũng có thể thích
Wells Fargo: Làn sóng mã nguồn mở tràn ngập AI, Microsoft (MSFT.US) và ServiceNow (NOW.US) sẽ trở thành những người chiến thắng lớn
Ngân hàng Wells Fargo gần đây đã phát hành một báo cáo nghiên cứu, chỉ ra rằng sự tiến bộ liên tục của các mô hình mã nguồn mở mang lại lợi ích cho các nền tảng lớn hiện có như Microsoft (MSFT.US) và ServiceNow (NOW.US).
UBS hạ mục tiêu giá của Intel xuống còn 112 USD
Tòa án Tối cao Hoa Kỳ ban hành lệnh tạm hoãn một ngày, tranh chấp phí App Store của Apple (AAPL.US) được tạm thời hoãn lại.
Thẩm phán Elena Kagan của Tòa án Tối cao Hoa Kỳ đã ban hành lệnh tạm dừng hành chính vào ngày 12 tháng 8 (thứ Tư) theo giờ địa phương, tạm thời đóng băng thủ tục xét xử vụ kiện chống độc quyền kéo dài giữa Apple (AAPL.US) và nhà phát triển trò chơi Fortnite, Epic Games, tại tòa án khu vực California.
Giá tiền điện tử
Thêm
