NEAR AI披露SGLang漏洞事件：约100名用户信息被下载

金色财经报道，11月9日，NEAR AI发布安全事件报告称，11月8日攻击者利用其服务器所运行的开源推理引擎SGLang的远程代码执行漏洞，在一台推理服务器上取得代码执行并进入内部基础设施。调查确认：对方从已弃用的Private Chat后端下载约100名用户的账户信息（邮箱、姓名，部分含套餐与余额）；访问未运行于TEE保密环境的旧版部署中18个智能体，取得聊天记录、设置与日志；两名Cloud客户的API密钥在日志中暴露，已撤销。11月8日攻击者还可能观察到该服务器正在处理的用户请求，包括保密模式下的请求；报告称未发现存储的Private Chat对话或上传文件被访问。NEAR AI表示，事发后已撤销全部活跃会话与管理凭证、更换智能体令牌、下线Private Chat并在所有推理服务器部署修复，完成凭证轮换与取证审查，已通知确认受影响用户并向SGLang项目报告漏洞。公司说明，TEE可防范运营方与宿主机，但不能防护环境内部软件的漏洞。