NemoClaw CVE-2026-65105: زيارة واحدة عبر المتصفح أعادت كتابة قالب المحادثة الخاص بالنموذج

في 25 أغسطس 2026، نشرت NVIDIA النشرة الأمنية رقم 5872 وصنّفت ثغرة في NVIDIA NemoClaw، أداة Linux التي تشغّل وكلاء OpenClaw داخل صناديق OpenShell الرملية، بدرجة مرتفعة مع درجة أساس CVSS قدرها 8.1. إن CVE-2026-65105 ثغرة غياب المصادقة: يشغّل NemoClaw خادم استدلال Ollama على كل واجهات الشبكة، ولا يملك API الخاص بـ Ollama أي مصادقة خاصة به. بنى باحثو Oasis Security، المذكورون بالاسم في شكر NVIDIA والذين يجري الاستحواذ على شركتهم الآن بواسطة Cyera، عرضًا توضيحيًا كانت فيه زيارة واحدة لصفحة ويب يتحكم بها المهاجم كافية للوصول إلى ذلك الخادم من داخل المتصفح وإعادة كتابة قالب محادثة النموذج — تعديلًا استمر بعد المحادثات اللاحقة وظل قائمًا رغم أن الوكيل قدّم موجه النظام الخاص به. لم يُسجَّل أي استغلال في البرّية. تقع الإدخال الكامل، مع درجتي شدته وثقته، في Orca AI Incident Archiveإلى جانب الحوادث المجاورة من الشهر نفسه.

ما الذي نشرته NVIDIA

النشرة بعنوان "النشرة الأمنية: NVIDIA NemoClaw وOpenShell - أغسطس 2026"، ورقمها 5872، ويُظهر سجل المراجعات الخاص بها مدخلًا واحدًا فقط: الإصدار 1.0.0، بتاريخ 2026-08-25. وهي نشرة تجميعية وليست تحذيرًا خاصًا بثغرة CVE واحدة — إذ يسرد جدول المنتجات المتأثرة الوارد فيها ثمانية عشر ثغرة CVE عبر منتجين، من CVE-2026-65081 حتى CVE-2026-65105. وأكبر بند في الحزمة هو CVE-2026-65093، وهو هروب من العزل في NVIDIA OpenShell لأنظمة Linux بتصنيف 9.9 حرج.

بالنسبة إلى CVE-2026-65105، يذكر النشرة أن الخلل "في إعداد خادم الاستدلال الخاص به، حيث قد يتمكن مهاجم عن بُعد من الوصول إلى خدمة الاستدلال دون مصادقة"، وأن الاستغلال الناجح "قد يؤدي إلى إفصاح عن المعلومات وحجب الخدمة". المتجه المنشور هو CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — شبكة مجاورة، تعقيد منخفض، لا امتيازات، لا تفاعل من المستخدم، تأثير مرتفع على السرية، تأثير مرتفع على التوافر — وفئة الضعف هي CWE-306، "Missing Authentication for Critical Function".

يوضّح جدول المنتجات المتأثرة لدى NVIDIA أن الإصدارات المتأثرة هي «0 إلى 0.0.25» بالنسبة إلى NemoClaw على لينكس، وأن الإصدار المحدّث هو «f06796ff3; 0.0.25» — تجزئة commit مقترنة برقم الإصدار نفسه الذي يظهر في عمود الإصدارات المتأثرة. وقد أوردت eSecurity Planet، وهي تبلغ عن الثغرة في 27 أغسطس 2026، هذا التداخل تحديدًا، وتنصح المسؤولين بأن «يتحققوا من أن الكود المنشور يحتوي على commit الإصلاح بدلًا من الاعتماد على رقم الإصدار وحده».

يذكر قسم الشكر الفضل إلى "CVE-2026-65105: Markus Halvorsen، Elad Luz من Oasis Security". وقد نُشر سجل NVD الخاص بـ CVE في 25 أغسطس 2026 الساعة 21:17 UTC، وتم آخر تعديل عليه في 1 سبتمبر 2026؛ وهو يحمل درجة NVIDIA البالغة 8.1 بوصفها التقييم الوحيد لـ CVSS v3.1، كما لا يظهر هذا الـ CVE في كتالوج الثغرات المعروفة المستغَلة التابع لـ CISA.

ثمة تفصيل في مدخل NVIDIA نفسه يجدر ذكره صراحةً بدل التغطية عليه. لا يحتوي المتجه على أي مكوّن يتعلق بالنزاهة إطلاقاً — I:N، أي تأثير على النزاهة: لا شيء — ولا يذكر الوصف المكوّن من سطر واحد سوى الكشف عن المعلومات وحجب الخدمة. والادعاء المركزي للباحثين، المطروح أدناه، هو أن قالب الدردشة الخاص بالنموذج قد عُدّل وبقي معدّلاً. وهذا التفسير للمتجه هو تفسيرنا نحن، وليس تفسير NVIDIA: فلم تنشر الشركة أي بيان حول ما إذا كان مسار إعادة كتابة القالب قد أُخذ في الاعتبار عند إسناد الدرجة.

الإعداد الذي جعل خادمًا محليًا قابلًا للوصول

ينشر NemoClaw وكلاء OpenClaw داخل بيئة OpenShell المعزولة، ويدعم Ollama كخلفية استدلال محلية. ومشكلة التهيئة أثر جانبي لذلك الترتيب. وكما يوضح المقال البحثي الخاص بشركة Cyera، الذي كتبه Elad Luz وOfek Itach، فإن OpenShell يعمل داخل Docker، لذا لا يمكن الوصول إلى خادم Ollama الموجود على عنوان الحلقة الراجعة الافتراضي من داخل الحاوية. لذلك يشغّل NemoClaw Ollama مع OLLAMA_HOST=0.0.0.0:11434، مما يربط المنفذ 11434 على جميع واجهات الشبكة بدلاً من حلقة الاسترجاع الخاصة بالمضيف فقط. ويشير المقال نفسه إلى أن المثبّت يعرض "Using Ollama on localhost:11434" رغم أن الارتباط الفعلي أوسع نطاقًا بكثير.

لا تحتوي واجهة برمجة تطبيقات Ollama على أي مصادقة. دفاعاتها الموجّهة إلى المتصفح اثنان: برمجية وسيطة CORS تتعامل مع الطلب الذي يساوي فيه Origin عنوان Host على أنه من نفس الأصل، وتسمح للطلبات التي لا تحتوي على ترويسة Origin بالمرور؛ وخطوة التحقق من ترويسة Host التي تقبل عادةً أسماء المضيفين المحلية فقط. الدفاع الثاني هو الذي يختفي في إعداد NemoClaw. ويوضح حساب Cyera صراحةً أن «عندما يتم ربط Ollama بعنوان غير loopback (مثل 0.0.0.0)، يتم تخطي التحقق من ترويسة Host بالكامل» — يفحص الكود ما إذا كان عنوان الربط loopback، ويتجاوز الفحص في الحالات الأخرى.

هذا الدمج هو ما يجعل DNS rebinding ينجح. يقوم زائر بتحميل صفحة من نطاق يتحكم به المهاجم، حيث يستهدف JavaScript الموجود في الصفحة المنفذ 11434. بعد ذلك يعيد DNS الخاص بالمهاجم حل النطاق نفسه إلى 127.0.0.1 أو إلى عنوان على الشبكة المحلية للضحية. ولأن سياسة المصدر نفسه في المتصفح مرتبطة باسم المضيف، ولأن اسم المضيف لم يتغيّر، يواصل المتصفح التعامل مع الطلب على أنه من المصدر نفسه. يتلقاه Ollama، ويتخطى التحقق من Host لأن الربط الخاص به غير loopback، ويرى أن Origin يساوي Host — وكلاهما نطاق المهاجم — لذا تسمح به طبقة CORS. وخلاصة Cyera للنتيجة هي «وصول كامل إلى API دون مصادقة». لا يحتاج المهاجم إلى التحكم في أي شيء سوى نطاقه الخاص؛ ولا يلزمه الحصول على موطئ قدم في شبكة الضحية أو بنيتها التحتية لـ DNS.

لم يغطِّ صندوق العزل هذا لأن الخلل يقع تحته. ويصف eSecurity Planet العيب بأنه يقع "في طبقة الاستدلال الواقعة تحت ضوابط صندوق العزل تلك"، لذا فإن عزل الوكيل داخل صندوق عزل ترك خادم النموذج الذي يتحدث إليه غير محمي. وتطرح Cyera النقطة نفسها على نحو أوسع: "عزل الوكيل ضروري لكنه ليس كافياً." وتضيف مذكرة البحث الخاصة بـ Cloud Security Alliance عن الحالة، المؤرخة في 27 أغسطس 2026، أن الربط غير العائد إلى loopback يعيد إحياء التعرض الكامن وراء مشكلة إعادة ربط Ollama الأسبق التي تتبّع باسم CVE-2024-28224.

يجب القول بوضوح إن هذا مسار تعرّض منفصل عن هجوم المتصفح: فالربط بـ 0.0.0.0 يضع أيضًا واجهة برمجة التطبيقات غير المصادَق عليها على الشبكة المحلية مباشرةً، لذا فإن أي مضيف يمكنه التوجيه إلى المنفذ 11434 يصل إليها دون إعادة ربط DNS على الإطلاق.

من قالب مقروء إلى قالب مُعاد كتابته

بمجرد أن يتمكن JavaScript من الوصول إلى API، يصبح الاستطلاع أمرًا روتينيًا. تسرد Cyera ما كان قابلًا للوصول في العرض التوضيحي: أسماء النماذج المثبّتة وأحجامها وعائلاتها وتكميمها من GET /api/tags، وإصدار Ollama الدقيق من GET /api/version، وتفاصيل النموذج والمطالبات النظام والقوالب والتراخيص من POST /api/show، واسم المضيف والمفتاح العام — أو اسم المستخدم المسجّل الدخول — من POST /api/me. وكانت نقاط النهاية التدميرية قابلة للوصول أيضًا: POST /api/pull لتنزيل نماذج اعتباطية وملء القرص، وPOST /api/push لدفع النماذج إلى ollama.com تحت حساب الضحية، وDELETE /api/delete لإزالة نماذج الضحية، وPOST /api/signout. نقاط نهاية الاستدلال، بما في ذلك المسار /v1/chat/completions المتوافق مع OpenAI، ستشغّل المطالبات على GPU الخاص بالضحية.

جاءت الاستمرارية من إحدى تلك النقاط الطرفية. يوضّح تحليل Cyera أن حقن حقل نظام مخفي عبر POST /api/create لم يكن فعّالًا ضد OpenClaw، لأن الوكيل يرسل موجه النظام الخاص به ضمن مصفوفة الرسائل، وهذا يتجاوز حقل النظام المدمج في النموذج. أما المسار الأقوى فهو حقل القالب الذي يقبله /api/create أيضًا. قالب الدردشة في Ollama هو قالب Go يتحكم في كيفية عرض الرسائل كنص خام قبل الاستدلال، و«يُطبَّق القالب وقت الاستدلال على جميع الرسائل، بما في ذلك أي موجه نظام يرسله العميل». في العرض التوضيحي، جلب المهاجم القالب الأصلي عبر /api/show، ودمج الحقن فيه مع الإبقاء على عرض الأدوات والرموز الخاصة وتنسيق الأدوار دون تغيير، ثم أعاد رفعه.

ما يترتب على ذلك الموضع هو الجزء المهم. وفقًا لـ Cyera، يستمر التعديل عبر جميع المحادثات المستقبلية مع النموذج، ويصمد أمام مطالبات النظام المقدمة من العميل، ويبقى غير مرئي للمستخدم لأن اسم النموذج وحجمه وبياناته الوصفية وقدراته تبدو دون تغيير، ويؤثر في كل مستهلك للنموذج — سواء كان CLI أو عملاء API أو وكلاء. الإطار الذي اعتمده التقرير نفسه هو أن "العميل لا يستطيع اكتشاف هذا أو منعه" لأن القالب "خاصية على مستوى النموذج غير مرئية لمستهلكي API". ويقتبس CSO Online، في تقريره عن الحالة في 26 أغسطس 2026، من Luz وصفه للقالب بأنه يقع "طبقة واحدة تحت أي شيء يمكن لحاجز أمان أو مشغّل أن يراه"، ويشير إلى أن التغيير يصمد في كل جلسة مستقبلية.

إن العواقب التي تسردها Cyera لوكيل يعمل على قالب مسموم هي عواقب محتملة، لا مرصودة: إدخال ثغرات في الكود المولَّد، وكتم تحذيرات الأمان، وتوجيه التوصيات نحو حزم أو عناوين URL أو إعدادات يسيطر عليها المهاجم، وتسريب بيانات المحادثة أو الملفات حيثما وُجد وصول صادر. كما يحرص التقرير على بيان ما لا يزال الصندوق الرملي يقيّده — إجراءات نظام الملفات والشبكة والعمليات على مستوى المضيف — مع الإشارة إلى أن وصول الوكيل المصرَّح به إلى التحكم بالمصدر وCI/CD وواجهات API الداخلية وخدمات السحابة وخوادم MCP هو حيث يكمن التعرض الحقيقي.

ما أظهره العرض، وما لم يُظهره

أُجري إثبات المفهوم على أربع خطوات، كما تصفه Cyera. اتصل الباحثون بصندوق رمل NemoClaw وأرسلوا توجيهًا؛ فاستجاب الوكيل بشكل طبيعي. ثم فتحوا صفحة ويب نفّذت DNS rebinding ضد خادم Ollama المحلي. قرأت تلك الصفحة إصدار Ollama، والنماذج المثبّتة، واسم المضيف، والمفتاح العام، وسمّمت قالب النموذج بتعليمات مخفية. وعند إعادة إرسال التوجيه نفسه، عادت الاستجابة محتويةً على العلامة المحقونة، دون إجراء أي تغيير على الوكيل المحصور داخل صندوق الرمل نفسه.

هذه هي أقوى صيغة للادعاء الذي يقدّمه الباحثون، وهي أيضًا النقطة التي تبدأ عندها حدود السجل. هذا عرض توضيحي في ظل إعداد محدد — إذ شُغِّل Ollama بالمتغيّر OLLAMA_HOST=0.0.0.0:11434 — وليس مسحًا للأنظمة المنشورة فعليًا. لا يُذكر أي ضحية في أي موضع من التغطية التي رُوجعت لهذا المقال: لا في نشرة NVIDIA، ولا في سجل NVD، ولا في تقرير Cyera، ولا في تقارير CSO Online أو eSecurity Planet. ولم تنشر أيٌّ منها عددًا لعمليات تثبيت NemoClaw المكشوفة، ولا يذكر أيٌّ منها استغلالًا في البرية. إن غياب إدراج CISA KEV حقيقةٌ عن الكتالوج، وليست دليلًا على أن أحدًا لم يحاول.

جاء تعليق مستقل من راندولف بار من Cequence Security، الذي اقتبسته CSO Online: «لقد كانت إعادة ربط DNS حيلة متداولة في المتصفحات لأكثر من عقد»، كما قال، بينما «توجيهها إلى خادم نموذج محلي غير مُصادَق عليه هو الجزء الجديد». وهذا وصف منصف للجِدّة هنا — إذ إن تقنية المتصفح قديمة وفئة الهدف جديدة — وهو أيضًا تذكير بأن الإفصاح يعتمد على عرض توضيحي من فريق بحثي واحد. لم يُعثر على تكرار مستقل لنتيجة تسميم القوالب في التغطية التي روجعت لهذا المقال.

الإصلاح، والفجوة في ويندوز

الالتزام الذي تسمّيه NVIDIA بوصفه الإصلاح، f06796ff3، عنوانه "fix(security): bind Ollama to localhost with authenticated proxy". وعند قراءته في ضوء المستودع العام، فإنه يفعل ثلاثة أشياء. يغيّر مسار الاستدلال المحلي بحيث يبدأ تشغيل Ollama على 127.0.0.1:11434 بدلاً من 0.0.0.0:11434. ويضيف وكيلاً عكسياً صغيراً موثّقاً، scripts/ollama-auth-proxy.js، يستمع على 0.0.0.0:11435 ويتحقق من رمز حامل يُولَّد لكل نسخة عند الإعداد الأولي ويُخزَّن في بيانات اعتماد مزوّد OpenShell، بحيث تظل البوابة العاملة داخل حاوية قادرة على الوصول إلى الاستدلال بينما يحصل أي شيء دون الرمز على 401؛ ويُستثنى GET /api/tags عمداً من أجل فحوصات صحة الحاوية. ويحدّث سكربت الإعداد واختبارات الاستدلال المحلي إلى منفذ الوكيل. وتسجّل رسالة الالتزام التذكرة الداخلية باسم "PSIRT bug 6002780, CVSS 7.5 High"، مقابل 8.1 التي نشرتها NVIDIA لاحقاً للثغرة CVE.

تتباين المصادر في ما يتعلق بحالة المعالجة بعد ذلك الالتزام، وينبغي الإبلاغ عن هذا التباين بدلًا من حسمه. ذكرت CSO Online أن "الثغرة باتت الآن مُصلَحة من قِبل Nvidia للأنظمة غير Windows". وتتسم ملاحظة Cloud Security Alliance المؤرخة 27 أغسطس 2026 بمزيد من التحديد: فهي تقول إن macOS وLinux جرى تصحيحهما في v0.0.35، وإن بناءً لاحقًا، هو v0.0.106، يرفض البدء ما لم يكن Ollama مقيّدًا بواجهة loopback، وإن "إصلاح NVIDIA يغطي macOS وLinux لكنه، حتى وقت النشر، لا يمتد إلى Windows أو WSL". وفي ذلك السرد، فإن فحص بدء التشغيل "لا يصل إلى مسار الشيفرة المستخدم على Windows وWSL"، وأن v0.0.34 "أضاف تحذيرًا فقط بدلًا من فرض الربط بـ loopback"، وأن "عمليات نشر Windows وWSL ظلّت مكشوفة وقت الإفصاح". ولا تدعم نشرة NVIDIA الخاصة إلا جزءًا من هذا: إذ يقصر جدول المنتجات المتأثرة لديها CVE-2026-65105 على Linux، ويعطي التزامًا وإصدارًا محدّثين فقط، ولا يُدرج أي بند لـ Windows سواء باعتباره متأثرًا أو مُصلَحًا. ولم ترد NVIDIA على ذلك التباين في أي وثيقة جرى مراجعتها هنا.

جاء بيان NVIDIA العلني بعد النشر في CSO Online: «نحن نقدّر اكتشاف الباحثين وتقريرهم»، قالت الشركة، مضيفةً أن «Nvidia أصدرت تحديثًا يمكن للعملاء تنزيله وتثبيته».

تمثل التدابير الخاصة بجانب المشغّل التي أوردها eSecurity Planet الباقي العملي من السجل:

• حدِّث NemoClaw وتأكَّد من أن الكود المنشور يتضمَّن الالتزام f06796ff3، بدلًا من الاعتماد على سلسلة الإصدار، لأن 0.0.25 يظهر في كلٍّ من عمود الحالة المتأثرة وعمود الحالة المحدَّثة.

• اقتصر Ollama على 127.0.0.1 ما لم تكن هناك حاجة صريحة إلى وصول أوسع، وهو ما يزيل الربط غير الحلقي (non-loopback) الذي يؤدي إلى تخطي التحقق من Host.

• ضع وكيلًا موثّقًا وضوابط لجدار الحماية أمام خدمات الاستدلال بدلًا من الاعتماد على الحدود الشبكية الخاصة بالتطبيق نفسه.

• راقب واجهات الاستماع وقوالب النماذج وإعدادات النموذج ونشاط API بحثًا عن أي تغيير غير متوقع، لأن القالب المسموم يترك اسم النموذج وحجمه وبياناته الوصفية دون مساس.

احتفظ بنسخ سليمة معروفة من قوالب النموذج وإعداداته لاكتشاف العبث والاستعادة، واختبر خطط الاستجابة للحوادث لتسميم النموذج والاستدلال المكشوف — العزل، وفحوص النزاهة، وتدوير بيانات الاعتماد واستعادتها.

• طبّق مبدأ الامتياز الأدنى على كل ما يستطيع الوكيل الوصول إليه: المستودعات، وأنظمة CI/CD، وواجهات برمجة التطبيقات (APIs)، وموارد السحابة وبيانات الاعتماد، لأن بيئة العزل تحدّ من إجراءات المضيف لكنها لا تحدّ من الامتيازات الممنوحة للوكيل.

ما هو مُثبَت، وما هو منسوب، وما هو غير معروف

مؤكد.نشرت NVIDIA النشرة 5872 في 25 أغسطس 2026، مع CVE-2026-65105 بتقييم 8.1 High، وCWE-306، وتؤثر على NemoClaw لإصدارات Linux من 0 إلى 0.0.25 وتم إصلاحها عند الـ commit f06796ff3. ويؤكد سجل NVD الدرجة والمتجه وفئة الضعف بشكل مستقل عن صفحة النشرة نفسها. ويذكر إقرار NVIDIA كلاً من Markus Halvorsen وElad Luz من Oasis Security. ويغيّر الـ commit العام المذكور كإصلاح الربط إلى loopback ويُدخل وكيلاً مصادَقاً بالرموز على المنفذ 11435. ولا توجد هذه CVE في كتالوج الثغرات المستغلة المعروفة لدى CISA.

منسوب. إن كون زيارة واحدة لصفحة ويب تكفي لإعادة كتابة قالب الدردشة الخاص بأحد النماذج، وأن ذلك التغيير يستمر في الجلسات اللاحقة وفي مُوجّهات النظام التي يقدمها العميل، هو نتيجة دراسة أجرتها Oasis Security، ووردت عبر تقرير Cyera البحثي ونقلتها CSO Online وeSecurity Planet. أما أن macOS وLinux جرى إصلاحهما في الإصدارين v0.0.35 وv0.0.106 بينما أُصدر تحذير بشأن Windows وWSL فقط في v0.0.34، فهو حسب رواية Cloud Security Alliance؛ والنسخة الأقصر لدى CSO Online من الادعاء نفسه هي أن التصحيح يغطي الأنظمة غير العاملة بنظام Windows. وقائمة العواقب اللاحقة على الوكلاء — شيفرة معرضة للخطر، تحذيرات مكتومة، حزم يُوجّهها المهاجم، تسريب البيانات — هي وصف Cyera للآثار المحتملة، وليست نتيجة مرصودة.

لم يثبت ذلك. لم ينشر أحد عدد عمليات نشر NemoClaw التي شُغّلت باستخدام ربط 0.0.0.0، ولا عدد تلك التي كانت قابلة للوصول من شبكة مجاورة. ومن غير المعروف ما إذا كان مسار التسمم قد احتُسب ضمن درجة NVIDIA البالغة 8.1 — فلا يحمل المتجه المنشور أي تأثير على النزاهة، ولم تقل NVIDIA أي شيء عنه بأي اتجاه. ولم يسجّل أي مصدر جرى مراجعته هنا أي ضحية أو تقرير حادث أو استغلال في البرية، كما لم تنشر أي مجموعة بحثية ثانية دراسة تكرارية.

السجل نفسه نتيجة بحثية وليس حدث نشر: يحمل مدخل الأرشيف خطورة عالية بدرجة ثقة A، ولا يسجل أي ضرر في العالم الحقيقي، ويصنفه غير متنازع عليه. وهذا يطابق ما تُظهره المصادر — ثغرة موثّقة توثيقًا جيدًا مع استغلال مُثبت ولا ضحايا مُبلّغ عنهم — وهو السبب الذي يجعل هذا المقال يفصل بين إثبات الاستغلال ونتائجه بدلًا من التعامل مع الاثنين كادعاء واحد.