BlockBeats сообщает, 5 марта, компания по безопасности Web3 GoPlus опубликовала заявление о том, что недавно инструмент для разработки AI OpenClaw был вовлечен в инцидент безопасности, связанный с «самоатакой». Во время выполнения автоматизированных задач система при вызове Shell-команды для создания GitHub Issue сформировала неправильную Bash-команду, что случайно вызвало инъекцию команд и привело к раскрытию большого количества чувствительных переменных окружения.

В случае инцидента строка, сгенерированная AI, содержала обратные кавычки, окружающие команду set, которая Bash интерпретировала как замену команды и автоматически выполнила её. Поскольку при запуске set без параметров Bash выводит все текущие переменные окружения, в результате более 100 строк чувствительной информации (включая ключи Telegram, токены аутентификации и т. д.) были напрямую записаны в GitHub Issue и опубликованы публично.

GoPlus рекомендует в сценариях автоматизированной разработки или тестирования с использованием AI по возможности применять вызовы API вместо прямого составления Shell-команд, соблюдать принцип минимальных привилегий для изоляции переменных окружения, отключать режимы выполнения с высоким риском и вводить механизмы ручной проверки при выполнении критических операций.

Посмотреть источник

Дисклеймер: Информация на этой странице может быть получена из источников третьих сторон и предоставляется только для ознакомления. Она не отражает взгляды или мнения Gate и не является финансовой, инвестиционной или юридической рекомендацией. Торговля виртуальными активами связана с высоким риском. Пожалуйста, не основывайте свои решения исключительно на данных этой страницы. Подробнее смотрите в Дисклеймере.

комментарий

0/400

Нет комментариев