Lỗ hổng NemoClaw có thể cho phép trang web độc hại sửa mô hình AI cục bộ
"Oasis Security reported that NVIDIA NemoClaw could be abused by a malicious webpage to reach a locally exposed Ollama API, modify a model’s chat template, and persist hidden instructions across later conversations. The issue had no CVE assigned; NemoClaw v0.0.35 fixed the problem on macOS and Linux, while the Windows/WSL path remained without a full fix at the time described. The attack relies on non-loopback binding, CORS/Host-header bypass conditions, and DNS rebinding, with the underlying Ollama DNS-rebinding class previously addressed in CVE-2024-28224."
Rủi ro cao vì có thể dẫn đến chiếm quyền tương tác với agent, chèn chỉ dẫn bền vững vào mô hình và vượt qua kiểm soát ở lớp ứng dụng.
Có thể ảnh hưởng đến tính toàn vẹn đầu ra AI, làm sai lệch quy trình tự động hóa và tăng nguy cơ sự cố vận hành trên các hệ thống dùng agent cục bộ.
Oasis Security đã công bố một vấn đề trong NVIDIA NemoClaw có thể bị khai thác bởi một trang web do kẻ tấn công kiểm soát để truy cập trái phép vào Ollama API đang chạy cục bộ, từ đó sửa chat template của mô hình và chèn chỉ dẫn ẩn vào các phiên hội thoại sau đó. Sự cố này chưa được gán CVE tại thời điểm công bố.
Theo báo cáo, chuỗi tấn công phụ thuộc vào việc OLLAMA_HOST=0.0.0.0:11434 khiến dịch vụ lắng nghe trên mọi giao diện mạng, kết hợp với điều kiện bỏ qua kiểm tra Host/CORS và kỹ thuật DNS rebinding. Khi API bị truy cập, kẻ tấn công có thể ghi đè template qua /api/create, khiến nội dung độc hại được áp dụng lặp lại ở các lần suy luận tiếp theo.
NemoClaw v0.0.35 đã khắc phục trên macOS và Linux. Tuy nhiên, nhánh Windows/WSL được mô tả là chưa có bản sửa hoàn chỉnh tại thời điểm nêu trong bài. Trước đó, lớp tấn công DNS rebinding liên quan đến Ollama đã từng được xử lý trong CVE-2024-28224.
Khuyến nghị: giữ Ollama chỉ bind vào 127.0.0.1, không mở port 11434 ra mạng ngoài, kiểm tra cấu hình proxy/token, và cập nhật lên bản đã vá nếu đang dùng NemoClaw.