La brecha de NEAR AI mediante RCE en SGLang: Por qué un TEE no neutraliza el software vulnerable
Un atacante explotó una vulnerabilidad de ejecución remota en el motor SGLang dentro del enclave seguro de NEAR AI, comprometiendo 18 agentes y cuentas de usuarios.
Fecha de publicación: 2026.11.11
Filtración en despliegues heredados y datos de perfil
Inyección de código directo en servidor de inferencia
Acceso total a memoria en claro dentro del enclave
El compromiso de seguridad sufrido por NEAR AI expone una grieta conceptual frecuente en la infraestructura moderna de inteligencia artificial: la sobreestimación de los entornos de ejecución de confianza (TEE, por sus siglas en inglés). Un atacante explotó una vulnerabilidad de ejecución remota de código (RCE) en el motor de inferencia de código abierto SGLang alojado en sus servidores. La intrusión permitió interceptar peticiones activas en memoria, comprometer datos de aproximadamente 100 usuarios y extraer registros operativos de 18 agentes autónomos.
El incidente demuestra que el aislamiento criptográfico a nivel de silicio carece de utilidad cuando la capa de aplicación dentro del enclave es vulnerable. Aunque el modo confidencial protegía las peticiones frente a accesos directos del propio proveedor de infraestructura, el atacante ejecutó código nativo dentro del perímetro cifrado. Desde esa posición de privilegio, el atacante logró pivotar hacia dependencias heredadas y exfiltrar credenciales de producción.
Secuencia de explotación desde el motor de inferencia hasta la exfiltración lateral
Inyección de código remoto en el motor de inferencia, obteniendo acceso a las peticiones en texto plano procesadas dentro del enclave.
Alcance al servicio descontinuado Private Chat y a 18 agentes alojados en infraestructura antigua sin protección de enclave.
Extracción de dos claves API de NEAR AI Cloud en registros, revocación total de sesiones y parcheo del binario de inferencia.
Vulnerabilidad en SGLang y la falsa inmunidad del enclave seguro
Los entornos TEE garantizan que el hipervisor, el sistema operativo anfitrión y los administradores físicos de la máquina no puedan leer la memoria RAM de una carga de trabajo. Sin embargo, este esquema asume erróneamente que el código que corre en su interior es seguro por definición. Al comprometer SGLang mediante un RCE, el atacante adquirió los privilegios del propio proceso de inferencia dentro del enclave.
En ese punto de ejecución, los datos del usuario ya habían sido descifrados para que el modelo procesara los tensores. El atacante obtuvo la capacidad de interceptar todas las solicitudes enviadas a ese nodo durante la jornada del ataque, incluidas aquellas canalizadas bajo el modo confidencial. Las garantías criptográficas de confidencialidad del TEE quedaron anuladas porque la intrusión no provino del exterior, sino del propio flujo de procesamiento de la aplicación.
La dependencia de marcos de inferencia de código abierto como SGLang o vLLM sin una separación de privilegios estricta crea un vector de ataque directo. Si el servidor HTTP de inferencia se ejecuta con permisos para interactuar con la red interna de la empresa, cualquier fallo de deserialización, desbordamiento o inyección en el parser de peticiones convierte al nodo de GPU en una cabeza de puente dentro de la red corporativa.
Diferencia de protección ante accesos de infraestructura y fallos lógicos internos
- • Cifrado de RAM contra volcado físico del hipervisor
- • Aislamiento de peticiones frente al operador cloud
- • Atestación remota de integridad del hardware
- • El atacante adquiere los permisos del software residente
- • Acceso a peticiones en memoria ya descifradas
- • Capacidad de movimiento lateral fuera del enclave
Alcance del compromiso: Enclaves modernos frente a deuda técnica
La investigación forense de NEAR AI delimitó el impacto en dos frentes con niveles de exposición radicalmente diferentes. Por un lado, las peticiones activas en el nodo comprometido quedaron expuestas en tiempo real. Por otro lado, el atacante saltó hacia la infraestructura de soporte, accediendo a una base de datos vinculada al producto retirado Private Chat y a un clúster secundario de agentes.
| Componente afectado | Nivel de aislamiento original | Datos comprometidos | Estado de mitigación |
|---|---|---|---|
| Nodo SGLang comprometido | Enclave TEE activo | Peticiones en tiempo real del día del ataque | Parche desplegado en toda la flota |
| Sistema Private Chat | Descontinuado / Sin mantenimiento | Nombres, correos, plan y saldo (~100 usuarios) | Servicio desconectado definitivamente |
| NEAR AI Agents (v1) | Servidor estándar sin TEE | Historial de chat, ajustes y logs (18 agentes) | Fichas revocadas y migración forzada |
| Credenciales de clientes | Registros de depuración (Logs) | 2 claves API de NEAR AI Cloud | Claves invalidadas y clientes notificados |
| Nodos de producción globales | TEE multi-nodo | Ninguno detectado | Sesiones y credenciales admin rotadas |
El acceso a Private Chat reveló metadatos de facturación e identidad de un centenar de cuentas, aunque la compañía descartó la descarga de archivos almacenados o transcripciones históricas de ese producto. Sin embargo, el compromiso de 18 agentes en un despliegue antiguo evidenció un problema mayor: la persistencia de infraestructura no homogénea. Estos agentes no utilizaban TEE y mantenían volcados de depuración donde se hallaron claves API de producción no anonimizadas.
Empresas externas integradas con NEAR AI sufrieron incertidumbre operativa directa. Brave confirmó semanas antes que su asistente de navegación Leo ejecuta inferencias con el modelo GLM 5.3 Flash dentro de los enclaves de NEAR AI. Aunque no se confirmó si el nodo vulnerado procesó tráfico de este navegador, el caso ilustra cómo el riesgo de cadena de suministro se transfiere de inmediato a aplicaciones cliente que subcontratan el procesamiento confidencial.
Ruta seguida por el atacante tras vulnerar el servidor de inferencia
RCE ejecutado sobre SGLang dentro del nodo con TEE.
Detección de segmentos de red con productos heredados.
Descarga de 100 registros con nombres, emails y saldo.
Robo de logs y 2 API keys en 18 agentes fuera de TEE.
Movimiento lateral y la trampa operativa de los activos retirados
El mayor coste de seguridad en este incidente no provino de la sofisticación del atacante, sino del retraso en el desmantelamiento de sistemas secundarios. Private Chat figuraba como un servicio discontinuado, pero sus puntos de enlace y bases de datos seguían alcanzables desde redes internas. Mantener infraestructura zombie en la misma red lógica donde se despliegan motores de inferencia punteros reduce a cero la eficacia de las inversiones en hardware confidencial.
La presencia de claves API en texto plano dentro de los registros de ejecución de los 18 agentes refleja una omisión en las prácticas de higiene de logs. En arquitecturas basadas en agentes autónomos, estos componentes reciben privilegios amplios para consultar herramientas, bases vectoriales y servicios de pago. Si el proceso vuelca entradas y salidas sin filtrado de credenciales, un compromiso de lectura en el servidor equivale a una toma de control de las cuentas externas vinculadas.
Auditoría de controles aplicada tras el incidente de NEAR AI
El saneamiento ejecutado por NEAR AI incluyó la baja definitiva de Private Chat, la sustitución de tokens de agentes y el despliegue de parches en los binarios de SGLang. No obstante, la ausencia de un identificador CVE público en el momento de la notificación y la falta de detalle sobre las versiones específicas de SGLang afectadas complican la respuesta en otras organizaciones. Cualquier equipo de ingeniería que mantenga instancias de este motor expuestas a tráfico de red debe asumir que se encuentra en riesgo potencial de ejecución remota.
Plan de contención y rediseño para plataformas de inferencia
Los directores de seguridad (CISO) e ingenieros de infraestructura no deben tratar los enclaves confidenciales como un sustituto de la seguridad en capas. Para evitar que una brecha en un motor de inferencia derive en una exfiltración masiva, las plataformas corporativas deben aplicar tres defensas arquitectónicas obligatorias.
Segmentación estricta de red para motores de GPU
Los servidores que alojan modelos de lenguaje deben operar bajo políticas de red de confianza cero (zero-trust egress). Un nodo de cómputo GPU solo requiere comunicación con los balanceadores de carga de entrada y los repositorios de almacenamiento de pesos del modelo. Debe bloquearse cualquier conexión saliente iniciada desde el servidor de inferencia hacia bases de datos internas, paneles de administración o servicios en desuso. Si el nodo SGLang de NEAR AI hubiera carecido de rutas hacia la red de Private Chat, el incidente se habría limitado a la memoria de esa máquina puntual.
Aislamiento de procesos y contenedores efímeros sin privilegios
Ejecutar motores de inferencia directamente en el sistema base dentro de un TEE anula las capas defensivas tradicionales del sistema operativo. El proceso de inferencia debe ejecutarse dentro de contenedores con sistemas de archivos de solo lectura (read-only root filesystem), sin capacidades de depuración (drop all Linux capabilities) y bajo perfiles estrictos de AppArmor o Seccomp. Incluso si un atacante logra la ejecución de código arbitrario a través de la API del modelo, un entorno de ejecución sin binarios básicos de sistema como curl, bash o sh frena la descarga de etapas secundarias de ataque.
Decomiso inmediato y auditoría automatizada de credenciales en logs
Los productos marcados como obsoletos deben apagarse de forma física y lógica, revocando sus accesos de red y eliminando sus almacenes de datos asociados. Paralelamente, los flujos de trabajo de agentes de IA requieren filtros en tiempo real para evitar la escritura de patrones regex correspondientes a claves API (sk-, near-, contraseñas y tokens portadores) en los archivos de eventos. La revocación de credenciales no debe ser una medida reactiva tras una auditoría forense, sino un proceso automatizado activado por la detección de cualquier desviación en la ejecución del contenedor.