SGLangRCE漏洞致NEARAI系统被入侵，18个AIAgent及近百名用户数据泄露

近日，区块链生态中的AI项目NEAR AI遭遇一次针对性网络攻击，核心原因指向开源推理框架SGLang中一个未修复的远程代码执行（RCE）漏洞。攻击者利用该漏洞突破了系统依赖的可信执行环境（TEE）防护机制，最终窃取包括18个AI Agent运行配置、用户凭证及部分私有数据在内的敏感信息，影响范围涉及近百名注册用户。

根据披露的技术细节，此次入侵发生于上周日。攻击路径清晰：攻击者首先通过SGLang的RCE漏洞获取服务器端代码执行权限，随后横向移动至部署在TEE中的AI推理服务模块。尽管TEE设计初衷是隔离敏感计算过程、防止外部窥探，但实际部署中若底层运行时环境存在权限配置疏漏或侧信道风险，仍可能被绕过——本次事件即为此类“理论安全”与“工程实现”之间落差的典型案例。

NEAR AI作为基于NEAR协议构建的去中心化AI基础设施平台，其核心功能是支持开发者部署和运行自主AI Agent。这些Agent通常需访问用户授权的数据流、调用链上智能合约，并在本地或边缘节点完成推理任务。因此，Agent本身及其运行上下文（如API密钥、会话令牌、用户偏好参数）具有高度敏感性。据披露，被盗数据中包含多个Agent的完整配置文件、部分用户的OAuth令牌及加密密钥片段，虽未证实明文密码泄露，但已足以支撑后续钓鱼或账户接管攻击。

值得注意的是，SGLang是一个由斯坦福大学主导开发的开源高性能推理引擎，广泛用于本地大模型部署与轻量化推理场景，尤其受中小型AI创业团队青睐。其设计目标聚焦于性能优化与易用性，安全加固并非优先项。此次漏洞暴露后，项目维护者已于数小时内发布紧急补丁（v0.3.2），并建议所有用户立即升级。然而，由于SGLang常被嵌入定制化部署栈中，许多企业并未建立自动化更新机制，潜在风险窗口期仍存。

从技术层面看，本次事件凸显了当前AI基础设施的三大共性隐患：

第一，“安全左移”缺失。多数AI工程团队将重心放在模型效果与推理延迟上，对底层依赖库的安全审计投入不足。SGLang作为第三方组件，其漏洞未被纳入常规CI/CD安全扫描流程，导致问题长期潜伏。

第二，TEE误用与过度信任。TEE（如Intel SGX、ARM TrustZone）常被当作“黑盒保险箱”使用，但现实中其安全性高度依赖固件版本、内存隔离策略与密钥管理实践。一旦应用层存在RCE，攻击者可借助侧信道或调试接口进一步提权，使TEE形同虚设。

第三，Agent身份与权限粒度粗放。被盗的18个Agent中，部分拥有跨服务调用权限，例如可读取用户历史对话记录、触发链上交易等。理想情况下，每个Agent应遵循最小权限原则，按需申请临时凭证，而非长期持有高权限令牌。

对比同期其他数据泄露事件，此次NEAR AI事件规模虽小（近百用户），但技术代表性更强。例如，世嘉近期通报的220万邮箱泄露源于第三方邮件服务商ARARA的系统入侵，属于典型供应链风险；而NEAR AI事件则直接源于AI专用软件栈的底层漏洞，反映的是AI原生系统的脆弱性。

行业观察指出，随着AI Agent从实验性工具转向生产级服务，其安全边界正快速扩展：从前端交互、中间推理引擎，到后端数据存储与链上交互，每一层都可能成为攻击入口。2024年以来，已有至少三起类似事件被公开披露，包括某头部AI客服平台因LangChain插件漏洞导致客户对话日志外泄，以及某金融AI助手因未校验输入导致Prompt注入并窃取内部知识库。

目前，NEAR基金会已暂停所有公共Agent部署服务，并启动全面安全审计。受影响用户收到邮件通知，要求重置相关API密钥并启用双重验证。平台方表示，后续将引入运行时完整性监控（Runtime Integrity Monitoring）与Agent沙箱隔离机制，以降低同类风险。

值得警惕的是，此类事件可能催生新型攻击范式：攻击者不再仅瞄准传统数据库，而是直接劫持AI Agent作为“数字傀儡”，在用户无感知状态下执行恶意操作。例如，篡改Agent的决策逻辑使其推荐欺诈链接，或伪造身份向合作方发起虚假交易请求。

在缺乏统一安全标准的AI基础设施领域，此次事件为行业敲响警钟。开源社区亟需建立针对推理引擎、Agent框架与TEE集成方案的专项安全评估机制；企业用户也应重新审视其AI部署栈的纵深防御能力——毕竟，当AI开始自主行动，它的“行为安全”已不再仅是算法问题，更是系统工程问题。