SGLang RCEが実戦で悪用され、NEAR AIの推論インフラが侵害される

脅威アクターは、オープンソースのAI推論エンジンであるSGLangのリモートコード実行脆弱性を悪用し、NEAR AIの推論サーバーの1つでコード実行を達成しました。SGLang自体がNEAR AIの機密コンピューティングTEE内で実行されていたため、攻撃者は実行中のリクエスト（機密モードで送信されたものを含む）を観察できましたが、TEEはこれに対して保護しません。そこから、非推奨のPrivate Chatバックエンド（約100ユーザーのメール/名前/プラン/残高を流出）と、レガシーな非TEEデプロイ上の18のAIエージェント（チャット履歴、設定、ログ、2つの公開されたNEAR AI Cloud APIキー）に移動しました。

これはAI推論エンジンの実戦での悪用が確認された事例であり、TEE/機密コンピューティングの境界がエンクレーブ内で実行されるソフトウェアの脆弱性に対して保護しないことを示しています。マルチテナントのエージェントデータと「機密」推論トラフィックが、推論エンジンが侵害されると到達可能であること、そしてパッチ未適用のオープンソース推論コンポーネントが高価値の攻撃面であることを示しています。NEAR AIはまだCVEを割り当てておらず、この欠陥をSGLangプロジェクトに報告しました。

公開されたSGLang推論サーバーへのリモート、認証不要の悪用（CVEは未公開）で、TEE境界内の推論ワーカー上で任意のコード実行を達成。

SGLangオープンソース推論エンジン（セルフホストプロバイダーに展開されたパッチ未適用バージョン）；NEAR AI Cloud推論

すべての推論サーバーでSGLangにパッチを適用；NEAR AI全体に展開された修正を適用；ワーカー/クラウド資格情報とエージェントトークンをローテーション；推論ソフトウェアとエンクレーブサービスをセキュリティレビューの「信頼境界内」として扱う。公開されたCVE/勧告はまだない — SGLangプロジェクトの修正を監視。