OpenClaw xuất hiện lỗ hổng "tự tấn công": th ực thi nhầm lệnh Bash dẫn đến rò rỉ khóa bí mật
BlockBeats đưa tin, ngày 5 tháng 3, công ty bảo mật Web3 GoPlus đã đăng bài cho biết, công cụ phát triển AI OpenClaw gần đây đã gặp phải một sự cố bảo mật "tự tấn công". Khi thực hiện nhiệm vụ tự động hóa, hệ thống đã tạo ra lệnh Bash sai trong quá trình gọi lệnh Shell để tạo GitHub Issue, vô tình kích hoạt việc tiêm lệnh, dẫn đến việc tiết lộ hàng loạt biến môi trường nhạy cảm.
Trong sự kiện này, chuỗi ký tự do AI tạo ra chứa set được bao quanh bởi dấu nháy ngược, được Bash hiểu là thay thế lệnh và tự động thực thi. Do Bash sẽ xuất ra tất cả biến môi trường hiện tại khi thực thi set mà không có tham số, cuối cùng hơn 100 dòng thông tin nhạy cảm (bao gồm khóa Telegram, Token xác thực, v.v.) đã bị ghi trực tiếp vào GitHub Issue và công khai.
GoPlus khuyến nghị, trong các tình huống phát triển hoặc kiểm thử tự động hóa AI, nên sử dụng API để thay thế việc ghép lệnh Shell trực tiếp, đồng thời tuân thủ nguyên tắc quyền hạn tối thiểu để cách ly biến môi trường, vô hiệu hóa chế độ thực thi rủi ro cao, và bổ sung cơ chế kiểm duyệt thủ công cho các thao tác quan trọng.
Tuyên bố miễn trừ trách nhiệm: Mọi thông tin trong bài viết đều thể hiện quan điểm của tác giả và không liên quan đến nền tảng. Bài viết này không nhằm mục đích tham khảo để đưa ra quyết định đầu tư.
Bạn cũng có thể thích
Đánh giá của Morgan Stanley về báo cáo tài chính Q1 của Coherent (COHR.US): Không hoàn hảo nhưng “đủ dùng”, hợp đồng dài hạn trị giá 2 billions USD mới là điểm nhấn thực sự
JPMorgan Stanley đã phát hành nhận định về báo cáo tài chính quý đầu tiên năm 2027 của nhà sản xuất thiết bị quang học Coherent (COHR.US), giữ nguyên đánh giá "theo sát thị trường" và giá mục tiêu 325 đô la Mỹ.
Tiềm năng cách mạng của AI không đồng nghĩa với lợi suất đầu tư! Plato Asset Management cho rằng thị trường đang nhầm lẫn hai logic lớn, việc Nasdaq sụt giảm chỉ là “kiểm tra thực tế”
David Allen, Giám đốc chiến lược long-short tại Plato Investment Management, cho biết trong một cuộc phỏng vấn rằng đợt bán tháo trên thị trường chứng khoán Mỹ vào thứ Năm là kết quả của việc các nhà đầu tư đã nhầm lẫn giữa tiềm năng đổi mới của trí tuệ nhân tạo (AI) và lập luận về lợi nhuận đầu tư.
Giá tiền điện tử
Thêm
