NemoClaw CVE-2026-65105: Una sola visita al navegador reescribió la plantilla de chat del modelo

El 25 de agosto de 2026, NVIDIA publicó el boletín de seguridad 5872 y clasificó una vulnerabilidad en NVIDIA NemoClaw, la herramienta de Linux que ejecuta agentes OpenClaw dentro de entornos aislados OpenShell, como Alta, con una puntuación base CVSS de 8,1. CVE-2026-65105 es un fallo por falta de autenticación: NemoClaw inicia el servidor de inferencia Ollama en todas las interfaces de red, y la API de Ollama no dispone de autenticación propia. Investigadores de Oasis Security, acreditados por su nombre en los agradecimientos de NVIDIA y que ahora están siendo adquiridos por Cyera, construyeron una demostración en la que una sola visita a una página web controlada por un atacante bastaba para llegar a ese servidor desde dentro del navegador y reescribir la plantilla de chat del modelo —una edición que sobrevivió a conversaciones posteriores y que siguió presente aunque el agente proporcionara su propio prompt del sistema. No se ha registrado explotación en el mundo real. La entrada completa, con sus calificaciones de gravedad y confianza, se encuentra en el Orca AI Incident Archive junto con los incidentes vecinos del mismo mes.

Lo que NVIDIA publicó

El boletín se titula «Security Bulletin: NVIDIA NemoClaw and OpenShell - August 2026», tiene el número 5872 y su historial de revisiones registra una única entrada: versión 1.0.0, con fecha 2026-08-25. Se trata de un compendio, no de un aviso para una única CVE; la tabla de productos afectados que contiene enumera dieciocho CVE de dos productos, desde CVE-2026-65081 hasta CVE-2026-65105. El elemento más importante del lote es CVE-2026-65093, un escape de la sandbox en NVIDIA OpenShell para Linux calificado como 9.9 Critical.

Para CVE-2026-65105, el boletín indica que la vulnerabilidad «en la configuración de su servidor de inferencia, donde un atacante remoto puede acceder al servicio de inferencia sin autenticación», y que un exploit exitoso «puede provocar revelación de información y denegación de servicio». El vector publicado es CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — red adyacente, baja complejidad, sin privilegios, sin interacción del usuario, alto impacto en la confidencialidad, alto impacto en la disponibilidad — y la clase de debilidad es CWE-306, «Autenticación faltante para función crítica».

La tabla de productos afectados de NVIDIA indica que las versiones afectadas son «0 a 0.0.25» para NemoClaw en Linux, y que la versión actualizada es «f06796ff3; 0.0.25» —un hash de commit emparejado con el mismo número de versión que aparece en la columna de afectados. eSecurity Planet, al informar sobre el fallo el 27 de agosto de 2026, señala precisamente ese solapamiento y recomienda a los administradores que «verifiquen que el código desplegado contenga el commit de corrección en lugar de confiar únicamente en el número de versión».

La sección de agradecimientos acredita a «CVE-2026-65105: Markus Halvorsen, Elad Luz de Oasis Security». El registro del NVD para la CVE se publicó el 25 de agosto de 2026 a las 21:17 UTC y se modificó por última vez el 1 de septiembre de 2026; incluye la puntuación 8.1 de NVIDIA como única evaluación CVSS v3.1, y la CVE no aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Un detalle en la propia entrada de NVIDIA merece mencionarse en lugar de pasarse por alto. El vector no tiene ningún componente de integridad — I:N, impacto en la integridad: ninguno — y la descripción de una línea solo menciona divulgación de información y denegación de servicio. La afirmación central de los investigadores, analizada a continuación, es que la plantilla de chat del modelo se modificó y permaneció modificada. Esa lectura del vector es nuestra, no de NVIDIA: la empresa no ha publicado ninguna declaración sobre si se consideró la ruta de reescritura de la plantilla cuando se asignó la puntuación.

La configuración que hizo accesible un servidor local

NemoClaw implementa agentes de OpenClaw dentro de un sandbox de OpenShell y admite Ollama como backend de inferencia local. El problema de configuración es un efecto secundario de esa disposición. Como explican Elad Luz y Ofek Itach en el artículo de investigación de Cyera, OpenShell se ejecuta en Docker, por lo que un servidor Ollama en la dirección de loopback predeterminada no es accesible desde dentro del contenedor. Por lo tanto, NemoClaw inicia Ollama con OLLAMA_HOST=0.0.0.0:11434, lo que vincula el puerto 11434 en todas las interfaces en lugar de solo en el loopback del host. El mismo artículo señala que el instalador muestra «Using Ollama on localhost:11434» aunque la vinculación real es considerablemente más amplia.

La API de Ollama no tiene autenticación. Sus defensas de cara al navegador son dos: un middleware CORS que trata una solicitud cuyo Origin sea igual a su Host como del mismo origen y permite que pasen las solicitudes sin encabezado Origin, y un paso de validación del encabezado Host que normalmente solo acepta nombres de host locales. La segunda defensa es la que desaparece con la configuración de NemoClaw. El informe de Cyera es explícito: «cuando Ollama está vinculado a una dirección que no es de loopback (como 0.0.0.0), la validación del encabezado Host se omite por completo» — el código comprueba si la dirección de enlace es de loopback y, en caso contrario, omite la comprobación.

Esa combinación es lo que hace funcionar el DNS rebinding. Un visitante carga una página desde un dominio controlado por el atacante, con el JavaScript de la página dirigiéndose al puerto 11434. Luego, el DNS del atacante vuelve a resolver ese mismo dominio a 127.0.0.1 o a una dirección en la red local de la víctima. Como la política de mismo origen del navegador está vinculada al nombre de host, y el nombre de host no ha cambiado, el navegador sigue tratando la solicitud como de mismo origen. Ollama la recibe, omite la validación de Host porque su bind no es loopback, y ve Origin igual a Host —ambos son el dominio del atacante—, por lo que la capa CORS lo permite. El resumen de Cyera del resultado es «acceso completo y no autenticado a la API». El atacante no necesita controlar nada más que su propio dominio; no se requiere ningún punto de apoyo en la red ni en la infraestructura DNS de la víctima.

El sandbox no cubrió este caso porque la falla se encuentra por debajo de él. eSecurity Planet describe el bug como algo que reside "en la capa de inferencia bajo esos controles de sandbox", de modo que aplicar sandbox al agente dejó desprotegido el servidor de modelos con el que se comunica. Cyera plantea lo mismo en términos más amplios: "Aplicar sandbox al agente es necesario, pero no suficiente." La nota de investigación de Cloud Security Alliance sobre el caso, fechada el 27 de agosto de 2026, añade que el binding no-loopback reactiva la exposición detrás de un problema anterior de rebinding de Ollama registrado como CVE-2024-28224.

Vale la pena decirlo claramente, porque es una vía de exposición distinta del ataque desde el navegador: vincularse a 0.0.0.0 también coloca directamente la API no autenticada en la red local, de modo que cualquier host que pueda enrutar al puerto 11434 la alcanza sin DNS rebinding en absoluto.

De una plantilla legible a una reescrita

Una vez que JavaScript puede alcanzar la API, el reconocimiento se vuelve rutinario. Cyera enumera lo que era accesible en la demostración: los nombres, tamaños, familias y cuantizaciones de los modelos instalados desde GET /api/tags, la versión exacta de Ollama desde GET /api/version, los detalles de los modelos, los prompts del sistema, las plantillas y las licencias desde POST /api/show, y el nombre de host y la clave pública —o el nombre de usuario con sesión iniciada— desde POST /api/me. También eran accesibles los endpoints destructivos: POST /api/pull para descargar modelos arbitrarios y llenar el disco, POST /api/push para enviar modelos a ollama.com bajo la cuenta de la víctima, DELETE /api/delete para eliminar los modelos de la víctima, y POST /api/signout. Los endpoints de inferencia, incluida la ruta /v1/chat/completions compatible con OpenAI, ejecutarían prompts en la GPU de la víctima.

La persistencia provenía de uno de esos endpoints. El análisis de Cyera explica que inyectar un campo de sistema oculto mediante POST /api/create no era efectivo contra OpenClaw, porque el agente envía su propio prompt de sistema en el array de mensajes y eso anula el campo de sistema integrado del modelo. La vía más potente es el campo de plantilla que /api/create también acepta. Una plantilla de chat de Ollama es una plantilla de Go que controla cómo se representan los mensajes en texto sin formato antes de la inferencia, y «la plantilla se aplica en el momento de la inferencia a todos los mensajes, incluido cualquier prompt de sistema que envíe el cliente». En la demostración, el atacante obtuvo la plantilla original mediante /api/show, insertó la inyección en ella manteniendo intactos el renderizado de herramientas, los tokens especiales y el formato de roles, y la volvió a subir.

Lo que se deriva de esa colocación es la parte que importa. Según Cyera, la modificación persiste en todas las conversaciones futuras con el modelo, sobrevive a los prompts de sistema proporcionados por el cliente, es invisible para el usuario porque el nombre, el tamaño, los metadatos y las capacidades del modelo parecen no haber cambiado, y afecta a todos los consumidores del modelo —CLI, clientes de API y agentes por igual. El planteamiento del propio informe es que «el cliente no puede detectar ni prevenir esto» porque la plantilla es «una propiedad a nivel de modelo invisible para los consumidores de API». CSO Online, al informar sobre el caso el 26 de agosto de 2026, cita a Luz describiendo la plantilla como algo que se encuentra «una capa por debajo de cualquier cosa que un guardrail o un operador pueda ver», y señala que el cambio sobrevive a todas las sesiones futuras.

Las consecuencias que Cyera enumera para un agente que se ejecuta sobre una plantilla envenenada son potenciales, no observadas: insertar vulnerabilidades en el código generado, suprimir advertencias de seguridad, orientar las recomendaciones hacia paquetes, URL o configuraciones controlados por atacantes, y exfiltrar datos de conversaciones o archivos donde exista acceso de salida. El informe también es cuidadoso respecto a lo que el sandbox todavía delimita —acciones de sistema de archivos, red y procesos a nivel de host—, al tiempo que señala que el acceso autorizado del agente al control de código fuente, CI/CD, API internas, servicios en la nube y servidores MCP es donde reside la exposición real.

Lo que la manifestación mostró, y lo que no

La prueba de concepto se desarrolló en cuatro pasos, tal como lo describe Cyera. Los investigadores se conectaron a un sandbox de NemoClaw y enviaron un prompt; el agente respondió con normalidad. Luego abrieron una página web que realizó DNS rebinding contra el servidor local de Ollama. Esa página leyó la versión de Ollama, los modelos instalados, el nombre de host y la clave pública, y envenenó la plantilla del modelo con una instrucción oculta. Al reenviar el mismo prompt, se devolvió una respuesta que contenía el marcador inyectado, sin que se hiciera ningún cambio al propio agente en el sandbox.

Esa es la forma más contundente de la afirmación que están haciendo los investigadores, y también es donde comienzan los límites del registro. Esto es una demostración bajo una configuración específica —Ollama iniciado con OLLAMA_HOST=0.0.0.0:11434— y no un estudio de sistemas desplegados. No se nombra a ninguna víctima en ningún lugar de la cobertura revisada para este artículo: ni en el boletín de NVIDIA, ni en el registro del NVD, ni en el informe de Cyera, ni en los reportes de CSO Online o eSecurity Planet. Ninguno de ellos ha publicado un recuento de instalaciones de NemoClaw expuestas, y ninguno informa de explotación en el mundo real. La ausencia de una entrada en el catálogo CISA KEV es un hecho sobre el catálogo, no una prueba de que nadie lo haya intentado.

El comentario independiente vino de Randolph Barr, de Cequence Security, citado por CSO Online: «El DNS rebinding ha sido un truco de salón de los navegadores durante más de una década», dijo, mientras que «apuntarlo contra un servidor de modelos local no autenticado es la parte nueva». Es una descripción justa de la novedad que hay aquí —la técnica del navegador es antigua y la clase de objetivo es nueva— y también es un recordatorio de que la divulgación se basa en la demostración de un solo equipo de investigación. No se encontró ninguna replicación independiente del resultado de envenenamiento de plantillas en la cobertura revisada para este artículo.

La corrección, y la brecha de Windows

El commit que NVIDIA señala como la corrección, f06796ff3, tiene el título «fix(security): bind Ollama to localhost with authenticated proxy». Leído frente al repositorio público, hace tres cosas. Cambia la ruta de inferencia local para que Ollama se inicie en 127.0.0.1:11434 en lugar de 0.0.0.0:11434. Añade un pequeño proxy inverso autenticado, scripts/ollama-auth-proxy.js, que escucha en 0.0.0.0:11435 y valida un token bearer generado por instancia durante el onboarding y almacenado en la credencial del proveedor de OpenShell, de modo que el gateway contenedorizado puede seguir alcanzando la inferencia mientras cualquier elemento sin el token recibe un 401; GET /api/tags queda deliberadamente exento para las comprobaciones de estado de los contenedores. Y actualiza el script de configuración y las pruebas de inferencia local al puerto del proxy. El mensaje del commit registra el ticket interno como «PSIRT bug 6002780, CVSS 7.5 High», frente al 8.1 que NVIDIA publicó después para el CVE.

El estado de la remediación más allá de ese commit es el punto en el que las fuentes divergen, y la divergencia debería comunicarse en lugar de resolverse. CSO Online informa que «la falla ya ha sido parcheada por Nvidia para sistemas que no son Windows». La nota de Cloud Security Alliance del 27 de agosto de 2026 es más específica: afirma que macOS y Linux se corrigieron en v0.0.35, que una compilación posterior, v0.0.106, se niega a iniciarse a menos que Ollama esté vinculado a loopback, y que «la remediación de NVIDIA cubre macOS y Linux pero, en el momento de la publicación, no se extiende a Windows ni a WSL». Según esa versión, la comprobación de inicio «no llega a la ruta de código utilizada en Windows y WSL», v0.0.34 «solo añadió una advertencia en lugar de imponer el enlace a loopback», y «las implementaciones en Windows y WSL seguían expuestas en el momento de la divulgación». El propio boletín de NVIDIA respalda solo una parte de esto: su tabla de productos afectados limita CVE-2026-65105 a Linux, indica un único commit y una única versión actualizados, y no enumera ninguna entrada de Windows, ni como afectada ni como corregida. NVIDIA no respondió a esa discrepancia en ninguno de los documentos revisados aquí.

La declaración pública de NVIDIA se produjo después de la publicación, en CSO Online: «Apreciamos el descubrimiento y el informe de los investigadores», dijo la empresa, y añadió que «Nvidia ha publicado una actualización que los clientes pueden descargar e instalar».

Las medidas del lado del operador enumeradas por eSecurity Planet son el remanente práctico del registro:

• Actualiza NemoClaw y confirma que el código desplegado contiene el commit f06796ff3, en lugar de confiar en la cadena de versión, ya que 0.0.25 aparece tanto en la columna afectada como en la actualizada.

• Restringe Ollama a 127.0.0.1 a menos que se necesite explícitamente un acceso más amplio, lo que elimina el bind a una interfaz que no sea loopback y que hace que se omita la validación de Host.

• Coloque un proxy autenticado y controles de firewall delante de los servicios de inferencia en lugar de depender del propio límite de red de la aplicación.

• Supervise las interfaces de escucha, las plantillas de modelos, la configuración de los modelos y la actividad de API para detectar cambios inesperados, ya que la plantilla envenenada deja intactos el nombre, el tamaño y los metadatos del modelo.

• Conserve copias verificadas como correctas de las plantillas y configuraciones de los modelos para la detección y recuperación de alteraciones, y pruebe los planes de respuesta a incidentes para el envenenamiento de modelos y la inferencia expuesta —aislamiento, verificaciones de integridad, rotación y restauración de credenciales.

• Aplica el principio de privilegio mínimo a todo aquello a lo que el agente pueda acceder: repositorios, sistemas de CI/CD, API, recursos y credenciales de la nube, porque el sandbox limita las acciones en el host, pero no los permisos que se le han concedido al agente.

Lo que está establecido, lo que se atribuye y lo que no se conoce

Confirmado. NVIDIA publicó el boletín 5872 el 25 de agosto de 2026 con CVE-2026-65105 calificada como 8.1 Alta, CWE-306, que afecta a NemoClaw para Linux en las versiones 0 a 0.0.25 y se corrige en el commit f06796ff3. El registro del NVD corrobora la puntuación, el vector y la clase de debilidad de forma independiente de la propia página del boletín. El agradecimiento de NVIDIA menciona a Markus Halvorsen y Elad Luz, de Oasis Security. El commit público indicado como la corrección cambia el bind a loopback e introduce un proxy con autenticación por token en el puerto 11435. La CVE no figura en el catálogo de Vulnerabilidades Explotadas Conocidas de la CISA.

Atribuido. Que una sola visita a una página web basta para reescribir la plantilla de chat de un modelo y que el cambio sobrevive a sesiones posteriores y a los prompts del sistema proporcionados por el cliente es el hallazgo de Oasis Security, reportado a través del informe de investigación de Cyera y divulgado por CSO Online y eSecurity Planet. Que macOS y Linux se corrigieron en v0.0.35 y v0.0.106, mientras que Windows y WSL solo recibieron una advertencia en v0.0.34, es la versión de Cloud Security Alliance; la versión más breve de CSO Online de la misma afirmación es que el parche abarca sistemas que no son Windows. La lista de consecuencias posteriores para los agentes —código vulnerable, advertencias suprimidas, paquetes orientados por el atacante, exfiltración de datos— es la descripción de Cyera de los efectos potenciales, no un resultado observado.

No establecido. Nadie ha publicado cuántos despliegues de NemoClaw se ejecutaron con la vinculación a 0.0.0.0 y cuántos eran accesibles desde una red adyacente. Se desconoce si la ruta de envenenamiento se tuvo en cuenta en la puntuación 8.1 de NVIDIA — el vector publicado no conlleva ningún impacto en la integridad, y NVIDIA no ha dicho nada al respecto en ningún sentido. Ninguna fuente revisada aquí ha registrado una víctima, un informe de incidente ni una explotación en entornos reales, y ningún segundo grupo de investigación ha publicado una replicación.

El registro en sí es un hallazgo de investigación, no un evento de despliegue: la entrada del archivo tiene una severidad alta con una calificación de confianza A, no registra daños en el mundo real y lo marca como indiscutido. Eso coincide con lo que muestran las fuentes —una vulnerabilidad bien documentada con un exploit demostrado y sin víctimas reportadas— y es la razón por la que este artículo separa la demostración de sus consecuencias en lugar de tratar ambas como una sola afirmación.