NEAR AI meldt datalek na SGLang-kwetsbaarheid

NEAR AI meldt op 9 november een datalek bij Cloud: een kwetsbaarheid in SGLang gaf een aanvaller toegang tot één inferentieserver en accountgegevens van circa honderd gebruikers.

Voor een organisatie die NEAR AI Cloud gebruikt, ligt het zakelijke verschil tussen gegevens die volgens het bedrijf zijn opgehaald en verzoeken die tijdens verwerking mogelijk zichtbaar waren. NEAR meldt geen aanwijzing dat opgeslagen Private Chat-gesprekken of uploads zijn ingezien. Het zegt wel dat verzoeken die op 8 november op de getroffen server liepen mogelijk zichtbaar waren, ook in confidential mode. Bloomingbit beschrijft dezelfde scheiding tussen opgeslagen en tijdens verwerking bereikbare data.

De aanvaller bereikte drie soorten gegevens

Het interne systeem achter de uitgefaseerde Private Chat bevatte accountgegevens van ongeveer honderd gebruikers. NEAR zegt dat namen en e-mailadressen zijn gedownload. Bij sommige accounts stonden ook abonnementsinformatie en saldo in die gegevens.

De aanvaller had daarnaast toegang tot achttien AI-agenten in een oude installatie van NEAR AI Agents. Die agenten draaiden niet in de TEE-omgeving. Uit de agenten haalde de aanvaller chatgeschiedenis, instellingen en logs. Twee API-sleutels van Cloud-klanten stonden in logbestanden; NEAR heeft die sleutels ingetrokken.

Deze categorieën hebben niet dezelfde status als verzoeken die alleen tijdens verwerking bereikbaar konden zijn. Voor de accounts en agentlogs noemt het bedrijf daadwerkelijk gedownloade of opgehaalde gegevens. Voor verzoeken op de getroffen server beschrijft NEAR alleen een mogelijkheid. De melding bevestigt niet dat elke vraag en elk antwoord is ingezien.

De fout zat in de inferentielaag

NEAR schrijft dat de aanvaller een kwetsbaarheid voor uitvoering op afstand in SGLang misbruikte. SGLang is open-source software die modellen op de servers van NEAR laat antwoorden. De kwetsbaarheid gaf code-uitvoering op één inferentieserver. Van daaruit kon de aanvaller interne systemen bereiken, waaronder een systeem achter de oude Private Chat-dienst.

Na ontdekking trok NEAR actieve sessies en beheerdersgegevens in, verving het alle agenttokens en zette het Private Chat tijdelijk offline. Het bedrijf zegt de resterende toegangsgegevens te hebben vervangen, een forensische controle te hebben afgerond en de SGLang-fix op alle inferentieservers te hebben uitgerold. Getroffen gebruikers van wie gegevens of agents bevestigd waren bereikt, zijn rechtstreeks geïnformeerd. Crypto News meldt dat NEAR AI Cloud na de patch is hersteld. De melding zegt niet dat Private Chat zelf weer beschikbaar is.

Een TEE sluit softwarefouten niet uit

NEAR AI biedt vertrouwelijke AI-inferentie met Intel TDX-VM’s en NVIDIA H200-GPU’s in de modus voor confidential computing. In een technische toelichting van 2 oktober beschreef het bedrijf hoe gebruikers met actuele, door hardware ondertekende rapporten kunnen controleren welke hardware en software hun verzoek verwerkt. Diezelfde uitleg zegt expliciet dat attestation niet bewijst dat de code geen bugs bevat. De beschrijving van NEAR’s TDX- en H200-opstelling en de grens van attestation maakte de software in de enclave dus al onderdeel van het vertrouwensmodel.

Een TEE isoleert geheugen tegen de host, de hypervisor en de beheerder van het datacenter. De modelsoftware verwerkt het verzoek binnen die beschermde omgeving. De melding zegt niet dat de hardware-enclave is doorbroken. Ze zegt wel dat een kwetsbaarheid in SGLang code-uitvoering op de server mogelijk maakte en dat verzoeken die daar liepen mogelijk zichtbaar waren. Hardware-isolatie en veilige software in de enclave blijven daarmee twee aparte voorwaarden voor vertrouwelijke verwerking.

Dat verschilt van de WorkOS-inbraak waarbij een AI-agent op 25 oktober een interne verkooptool bereikte en WorkOS de toegang pas op 30 oktober ontdekte. WorkOS schreef de toegang toe aan een ARTEX-testagent die een verkeerd afgeschermde interne API benutte. Bij NEAR begon de toegang volgens het bedrijf bij SGLang zelf. Het zijn verschillende routes naar klant- en agentdata binnen diensten die bedrijven aan een leverancier uitbesteden.

Twee ingetrokken sleutels, geen gemeld misbruik

NEAR meldt dat twee Cloud-klantsleutels in logs stonden en inmiddels zijn ingetrokken. Het bedrijf zegt niet dat de sleutels zijn gebruikt of dat er extra modelverbruik op die accounts is geboekt. Dat onderscheid is van belang: Mandiant beschreef afzonderlijke gevallen waarin aanvallers met gestolen modeltoegang meer dan 100.000 dollar aan cloudkosten op één dag veroorzaakten. Een actor verwerkte met gestolen sleutels meer dan 500.000 modelverzoeken in minder dan acht uur. Die cijfers zijn geen aanwijzing voor misbruik bij NEAR; ze laten zien waarom intrekking van een gelekte sleutel direct moet volgen.

De melding noemt geen CVE-nummer, getroffen SGLang-versies, aantal verzoeken dat op 8 november op de server liep of details over wat een aanvaller daarvan kon zien. NEAR zegt de kwetsbaarheid aan het SGLang-project te hebben gemeld, maar publiceert in dit rapport geen technische analyse van de fout. De openbare onderbouwing blijft daardoor beperkt: account- en agentgegevens zijn bevestigd bereikt, terwijl mogelijke inzage in verwerkte verzoeken niet nader is uitgesplitst.

Het incident past naast WorkOS en de door Mandiant beschreven aanvallen, maar de oorzaak en de bewezen impact zijn telkens anders. NEAR meldt dat Cloud is hersteld, alle inferentieservers zijn gepatcht en de twee gevonden klantensleutels zijn ingetrokken. Voor organisaties die gevoelige verzoeken naar een beheerde AI-dienst sturen, blijft de open vraag hoeveel verkeer tijdens verwerking bereikbaar was. Die grens bepaalt wat een verklaring over opgeslagen data wel en niet zegt.