NemoClaw CVE-2026-65105: ביקור אחד בדפדפן שכתב מחדש את תבנית הצ'אט של המודל

ב-25 באוגוסט 2026 פרסמה NVIDIA את עלון האבטחה 5872 וסיווגה פגיעות ב-NVIDIA NemoClaw, כלי הלינוקס שמריץ סוכני OpenClaw בתוך ארגזי חול של OpenShell, כדרגת חומרה גבוהה עם ציון בסיס CVSS של 8.1. CVE-2026-65105 הוא באג של אימות חסר: NemoClaw מפעיל את שרת ההסקה Ollama על כל ממשק רשת, ול-API של Ollama אין אימות משל עצמו. חוקרי Oasis Security, המוזכרים בשמם בתודות של NVIDIA, כאשר Oasis Security נמצאת כעת בתהליך רכישה על ידי Cyera, בנו הדגמה שבה ביקור אחד בעמוד אינטרנט בשליטת תוקף הספיק כדי להגיע לשרת הזה מתוך הדפדפן ולשכתב את תבנית הצ'אט של המודל — עריכה שהוסיפה להתקיים גם מעבר לשיחות מאוחרות יותר ושרדה כאשר הסוכן סיפק הנחיית מערכת משלו. לא תועד ניצול לרעה בשטח. הערך המלא, עם דירוגי החומרה והמהימנות שלו, נמצא ב-Orca AI Incident Archive לצד התקריות השכנות מאותו חודש.

מה NVIDIA פרסמה

הבולטין נקרא "Security Bulletin: NVIDIA NemoClaw and OpenShell - August 2026", מספרו 5872, ובהיסטוריית הגרסאות שלו רשומה ערך אחד בלבד: גרסה 1.0.0, מיום 2026-08-25. זהו סקירה מרוכזת ולא ייעוץ ל-CVE בודד — טבלת המוצרים המושפעים שבתוכו מפרטת שמונה־עשר CVE בשני מוצרים, מ-CVE-2026-65081 עד CVE-2026-65105. הפריט הגדול ביותר באצווה הוא CVE-2026-65093, בריחת ארגז חול ב-NVIDIA OpenShell for Linux בדירוג 9.9 קריטי.

עבור CVE-2026-65105, ההודעה קובעת כי הפגם הוא "בהגדרת שרת האינפרנס שלה, שבה תוקף מרוחק עלול לגשת לשירות האינפרנס ללא אימות", וכי ניצול מוצלח "עלול להוביל לחשיפת מידע ולהשבתת השירות". הווקטור שפורסם הוא CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — רשת סמוכה, מורכבות נמוכה, ללא הרשאות, ללא אינטראקציה של משתמש, השפעה גבוהה על סודיות, השפעה גבוהה על זמינות — וסוג החולשה הוא CWE-306, "היעדר אימות לפונקציה קריטית".

טבלת המוצרים המושפעים של NVIDIA מציגה את הגרסאות המושפעות כ"0 עד 0.0.25" עבור NemoClaw על לינוקס, ואת הגרסה המעודכנת כ"f06796ff3; 0.0.25" — האש קומיט (hash) יחד עם אותו מספר גרסה שמופיע בעמודת המושפעים. eSecurity Planet, שדיווח על הפגיעות ב-27 באוגוסט 2026, מצביע בדיוק על החפיפה הזו וממליץ למנהלים "לוודא שהקוד הפרוס מכיל את קומיט התיקון, ולא להסתמך על מספר הגרסה בלבד".

סעיף ההוקרה מייחס את הזכות ל-"CVE-2026-65105: Markus Halvorsen, Elad Luz of Oasis Security". רשומת ה-NVD של ה-CVE פורסמה ב-25 באוגוסט 2026 בשעה 21:17 UTC ועודכנה לאחרונה ב-1 בספטמבר 2026; היא נושאת את הציון 8.1 של NVIDIA כהערכת CVSS v3.1 היחידה, וה-CVE אינו מופיע בקטלוג הפגיעויות המנוצלות הידועות של CISA.

פרט אחד ברשומה של NVIDIA עצמה ראוי להיאמר במפורש ולא להיטשטש. לוקטור אין כלל רכיב שלמות — I:N, השפעה על שלמות: ללא — ותיאור השורה האחת מזכיר רק חשיפת מידע והכחשת שירות. הטענה המרכזית של החוקרים, הנדונה בהמשך, היא שתבנית הצ'אט של המודל שונתה ונשארה משונָה. פרשנות זו של הווקטור היא שלנו, לא של NVIDIA: החברה לא פרסמה כל הצהרה בשאלה אם נתיב שכתוב התבנית נשקל בעת הקצאת הניקוד.

ההגדרה שהפכה שרת מקומי לנגיש

NemoClaw פורס סוכני OpenClaw בתוך ארגז חול (sandbox) של OpenShell, והוא תומך ב-Ollama כמנגנון הסקה מקומי. בעיית התצורה היא תוצאת לוואי של הסדר הזה. כפי שמסביר מאמר המחקר של Cyera מאת Elad Luz ו-Ofek Itach, OpenShell פועל ב-Docker, ולכן שרת Ollama בכתובת ה-loopback המוגדרת כברירת מחדל אינו נגיש מתוך הקונטיינר. לכן NemoClaw מפעיל את Ollama עם OLLAMA_HOST=0.0.0.0:11434, מה שמקשר את פורט 11434 בכל הממשקים ולא רק ל-loopback של המארח. אותו מאמר מציין גם שהמתקין מציג "Using Ollama on localhost:11434" למרות שהקישור בפועל רחב בהרבה.

ל-API של Ollama אין אימות. ההגנות שלו כלפי הדפדפן הן שתיים: middleware של CORS שמתייחס לבקשה שה-Origin שלה זהה ל-Host שלה כאל same-origin ומאפשר לבקשות ללא כותרת Origin לעבור, ושלב אימות כותרת Host שבדרך כלל מקבל רק שמות מארח מקומיים. ההגנה השנייה היא זו שנעלמת בתצורה של NemoClaw. התיאור של Cyera מפורש: "כאשר Ollama נקשר לכתובת שאינה loopback (כמו 0.0.0.0), אימות כותרת Host מדולג לחלוטין" — הקוד בודק אם כתובת הקישור היא loopback ואחרת עוקף את הבדיקה.

השילוב הזה הוא מה שמאפשר ל-DNS rebinding לעבוד. מבקר טוען דף מדומיין שנמצא בשליטת התוקף, וה-JavaScript של הדף פונה לפורט 11434. לאחר מכן ה-DNS של התוקף מפענח מחדש את אותו דומיין לכתובת 127.0.0.1 או לכתובת ברשת המקומית של הקורבן. מכיוון שמדיניות ה-same-origin של הדפדפן נקבעת לפי שם המארח, ושם המארח לא השתנה, הדפדפן ממשיך להתייחס לבקשה כאל same-origin. Ollama מקבל אותה, מדלג על אימות Host מכיוון שה-bind שלו אינו loopback, ורואה ש-Origin שווה ל-Host — כששניהם הדומיין של התוקף — ולכן שכבת ה-CORS מאפשרת אותה. סיכומה של Cyera לתוצאה הוא "גישה מלאה ל-API ללא אימות". התוקף אינו זקוק לשליטה בשום דבר מלבד הדומיין שלו; אין צורך בדריסת רגל ברשת של הקורבן או בתשתית ה-DNS שלו.

הסנדבוקס לא כיסה זאת משום שהפגם נמצא מתחתיו. eSecurity Planet מתאר את הבאג ככזה שנמצא „בשכבת ההסקה שמתחת לבקרות הסנדבוקס האלה”, ולכן הרצת הסוכן בסנדבוקס השאירה את שרת המודל שאיתו הוא מדבר ללא הגנה. Cyera מציינת את אותה נקודה באופן רחב יותר: „הרצת הסוכן בסנדבוקס הכרחית אך אינה מספקת.” פתק המחקר של Cloud Security Alliance על המקרה, מתאריך 27 באוגוסט 2026, מוסיף שכריכה שאינה loopback מחייה מחדש את החשיפה שמאחורי בעיית rebinding קודמת של Ollama שמסומנת כ-CVE-2024-28224.

ראוי לומר זאת בבירור, משום שזהו מסלול חשיפה נפרד מהתקיפה דרך הדפדפן: כריכה לכתובת 0.0.0.0 גם מציבה את ה-API ללא אימות על הרשת המקומית ישירות, כך שכל מארח שיכול לנתב לפורט 11434 מגיע אליו ללא DNS rebinding כלל.

מתבנית קריאה לתבנית משוכתבת

מרגע ש-JavaScript מסוגל לגשת ל-API, איסוף המידע הופך לשגרתי. Cyera מפרטת מה היה נגיש בהדגמה: שמות המודלים המותקנים, הגדלים, המשפחות והכימותים מ-GET /api/tags, גרסת Ollama המדויקת מ-GET /api/version, פרטי מודל, הנחיות מערכת, תבניות ורישיונות מ-POST /api/show, ושם המארח והמפתח הציבורי — או שם המשתמש המחובר — מ-POST /api/me. גם נקודות הקצה ההרסניות היו נגישות: POST /api/pull כדי להוריד מודלים שרירותיים ולמלא את הדיסק, POST /api/push כדי לדחוף מודלים ל-ollama.com תחת חשבון הקורבן, DELETE /api/delete כדי להסיר את המודלים של הקורבן, ו-POST /api/signout. נקודות קצה להסקה, כולל הנתיב /v1/chat/completions התואם ל-OpenAI, היו מריצות פרומפטים על ה-GPU של הקורבן.

ההתמדה נבעה מאחד מנקודות הקצה האלה. בניתוח של Cyera מוסבר שהזרקת שדה מערכת נסתר דרך POST /api/create לא הייתה יעילה נגד OpenClaw, משום שהסוכן שולח את הנחיית המערכת שלו עצמו במערך messages, וזו גוברת על שדה המערכת המובנה של המודל. המסלול החזק יותר הוא שדה התבנית שגם /api/create מקבל. תבנית צ׳אט של Ollama היא תבנית Go ששולטת באופן שבו הודעות מומרות לטקסט גולמי לפני ההסקה, ו"התבנית מיושמת בזמן ההסקה על כל ההודעות, כולל כל הנחיית מערכת שהלקוח שולח". בהדגמה התוקף אחזר את התבנית המקורית דרך /api/show, שיבץ לתוכה את ההזרקה תוך שמירה על רינדור כלים, טוקנים מיוחדים ועיצוב תפקידים ללא שינוי, והעלה אותה מחדש.

מה שנובע מאותו מיקום הוא החלק החשוב. לפי Cyera, השינוי נשמר בכל השיחות העתידיות עם המודל, שורד הנחיות מערכת שמספק הלקוח, ואינו נראה למשתמש משום ששם המודל, גודלו, המטא-נתונים והיכולות שלו נראים ללא שינוי, והוא משפיע על כל צרכן של המודל — CLI, לקוחות API וסוכנים כאחד. הניסוח של הכתוב עצמו הוא ש"הלקוח אינו יכול לזהות או למנוע זאת", משום שהתבנית היא "תכונה ברמת המודל שאינה נראית לצרכני API". CSO Online, שדיווח על המקרה ב-26 באוגוסט 2026, מצטט את לוז המתאר את התבנית ככזו שיושבת "שכבה אחת מתחת לכל דבר שמנגנון הגנה או מפעיל יכולים לראות", ומציין שהשינוי שורד בכל מושב עתידי.

ההשלכות שסיירה (Cyera) מונה לסוכן הפועל על תבנית מורעלת הן פוטנציאליות, ולא נצפו בפועל: השתלת פרצות בקוד שנוצר, דיכוי אזהרות אבטחה, הטיית ההמלצות לעבר חבילות, כתובות URL או קונפיגורציות הנשלטות בידי תוקף, והברחת נתוני שיחה או קבצים במקום שבו קיימת גישה יוצאת. הניתוח גם מדייק באשר למה שה-sandbox עדיין תוחם — פעולות מערכת קבצים, רשת ותהליכים ברמת המארח — תוך ציון שהחשיפה האמיתית טמונה בגישה המורשית של הסוכן לבקרת גרסאות, ל-CI/CD, ל-API פנימיים, לשירותי ענן ולשרתי MCP.

מה שההדגמה הראתה, ומה היא לא הראתה

הוכחת ההיתכנות התבצעה בארבעה שלבים, כפי ש-Cyera מתארת אותה. החוקרים התחברו לארגז חול של NemoClaw ושלחו פרומפט; הסוכן הגיב כרגיל. לאחר מכן הם פתחו דף אינטרנט שביצע DNS rebinding כנגד שרת Ollama המקומי. אותו דף קרא את גרסת Ollama, את המודלים המותקנים, את שם המארח ואת המפתח הציבורי, והרעיל את תבנית המודל באמצעות הוראה נסתרת. שליחה חוזרת של אותו פרומפט החזירה תגובה שהכילה את הסמן המוזרק, מבלי שנעשה שינוי בסוכן שבארגז החול עצמו.

זו הצורה החזקה ביותר של הטענה שמציגים החוקרים, וזה גם המקום שבו מתחילים גבולותיו של התיעוד. זהו הדגמה בתצורה ספציפית — Ollama שהופעל עם OLLAMA_HOST=0.0.0.0:11434 — ולא סקר של מערכות פרוסות. אין קורבן בשמו בשום מקום בסיקור שנסקר עבור כתבה זו: לא בהודעת NVIDIA, לא ברשומת NVD, לא בכתיבת Cyera, לא בדיווח של CSO Online או eSecurity Planet. אף אחד מהם לא פרסם מספר של התקנות NemoClaw חשופות, ואף אחד מהם לא מדווח על ניצול בשטח. היעדר רישום ב-CISA KEV הוא עובדה לגבי הקטלוג, ולא הוכחה שאיש לא ניסה.

הערה עצמאית הגיעה מרדולף באר מ-Cequence Security, שצוטט ב-CSO Online: "DNS rebinding הוא טריק מסיבות של דפדפן כבר יותר מעשור", הוא אמר, בעוד ש"הפנייתו לשרת מודל מקומי לא מאומת היא החלק החדש". זהו תיאור הוגן של החידוש כאן — טכניקת הדפדפן ישנה וסוג היעד חדש — וזה גם תזכורת לכך שהגילוי נשען על הדגמה של צוות מחקר אחד. לא נמצא שחזור עצמאי של תוצאת הרעלת התבנית בסיקור שנבדק עבור מאמר זה.

התיקון, והפער ב-Windows

הקומיט ש-NVIDIA מציינת בתור התיקון, f06796ff3, שכותרתו "fix(security): קשירת Ollama ל-localhost באמצעות פרוקסי מאומת". בקריאה מול המאגר הציבורי, הוא עושה שלושה דברים. הוא משנה את נתיב ההסקה המקומי כך ש-Ollama מופעל על 127.0.0.1:11434 במקום על 0.0.0.0:11434. הוא מוסיף פרוקסי הפוך קטן המבצע אימות, scripts/ollama-auth-proxy.js, שמאזין על 0.0.0.0:11435 ומאמת אסימון bearer שנוצר לכל מופע בעת ההצטרפות הראשונית ונשמר באישורי הספק של OpenShell, כך שהשער בקונטיינר עדיין יכול להגיע להסקה בעוד שכל בקשה ללא האסימון מקבלת 401; GET /api/tags מוחרג במכוון לצורך בדיקות בריאות של קונטיינרים. והוא מעדכן את סקריפט ההתקנה ואת בדיקות ההסקה המקומית לפורט של הפרוקסי. הודעת הקומיט רושמת את הכרטיס הפנימי כ־"PSIRT bug 6002780, CVSS 7.5 High", לעומת 8.1 ש-NVIDIA פרסמה מאוחר יותר עבור ה-CVE.

מצב התיקון מעבר לקומיט הזה הוא הנקודה שבה המקורות חולקים, ויש לדווח על הפער במקום ליישב אותו. CSO Online מדווח ש„הפגם תוקן כעת על ידי Nvidia עבור מערכות שאינן Windows”. ההערה של Cloud Security Alliance מ-27 באוגוסט 2026 מפורטת יותר: היא אומרת ש-macOS ו-Linux תוקנו ב-v0.0.35, כי build מאוחר יותר, v0.0.106, מסרב להתחיל אלא אם Ollama כבול ל-loopback, וכי „התיקון של NVIDIA מכסה macOS ו-Linux אך, נכון למועד הפרסום, אינו משתרע על Windows או WSL”. לפי אותו תיאור, בדיקת האתחול „אינה מגיעה לנתיב הקוד המשמש ב-Windows וב-WSL”, v0.0.34 „הוסיף רק אזהרה במקום לאכוף כבילה ל-loopback”, ו„פריסות Windows ו-WSL נותרו חשופות במועד החשיפה”. הבולטין של NVIDIA עצמה תומך רק בחלק מזה: טבלת המוצרים המושפעים שלו מגבילה את CVE-2026-65105 ל-Linux, מציגה קומיט וגרסה מעודכנים יחידים, ואינה כוללת רשומת Windows, לא כמושפעת ולא כמתוקנת. NVIDIA לא הגיבה לאי-ההתאמה הזו בשום מסמך שנסקר כאן.

ההצהרה הפומבית של NVIDIA הגיעה לאחר הפרסום ב-CSO Online: "אנו מעריכים את הגילוי והדוח של החוקרים", אמרה החברה, והוסיפה כי "Nvidia הוציאה עדכון שהלקוחות יכולים להוריד ולהתקין".

האמצעים בצד המפעיל שמפורטים על ידי eSecurity Planet הם השארית המעשית של הרשומה:

• עדכנו את NemoClaw ואמתו שהקוד הפרוס מכיל את ה-commit f06796ff3, במקום להסתמך על מחרוזת הגרסה, מכיוון ש-0.0.25 מופיע גם בעמודת המושפע וגם בעמודת המעודכן.

• הגבל את Ollama ל-127.0.0.1 אלא אם נדרשת במפורש גישה רחבה יותר, מה שמסיר את הכריכה על ממשק שאינו loopback ושגורמת לדילוג על אימות Host.

• הציבו פרוקסי מאומת ובקרות חומת אש לפני שירותי הסקה, במקום להסתמך על גבול הרשת של היישום עצמו.

• יש לנטר ממשקי האזנה, תבניות מודל, הגדרות מודל ופעילות API לאיתור שינויים בלתי צפויים, שכן התבנית המורעלת מותירה את שם המודל, גודלו והמטא-נתונים שלו ללא שינוי.

• שמרו עותקים תקינים של תבניות מודל והגדרות לצורך זיהוי חבלה ושחזור, ובדקו תוכניות תגובה לאירועים למקרי הרעלת מודל והסקה חשופה — בידוד, בדיקות שלמות, החלפת אישורי גישה ושחזור.

• החל עקרון הרשאות מינימליות על כל מה שהסוכן יכול להגיע אליו: מאגרי קוד, מערכות CI/CD, ממשקי API, משאבי ענן ואישורים, מכיוון שה-sandbox מגביל פעולות על המארח אך לא את ההרשאות שניתנו לסוכן.

מה מבוסס, מה מיוחס ומה לא ידוע

מאומת. NVIDIA פרסמה את הבולטין 5872 ב-25 באוגוסט 2026, ובו CVE-2026-65105 בדירוג 8.1 High, CWE-306, המשפיע על NemoClaw עבור Linux בגרסאות 0 עד 0.0.25 ותוקן בקומיט f06796ff3. רשומת NVD מאמתת את הניקוד, הווקטור ומחלקת החולשה באופן בלתי תלוי בעמוד הבולטין עצמו. ההכרה של NVIDIA מזכירה את Markus Halvorsen ואת Elad Luz מ-Oasis Security. הקומיט הציבורי שנקוב בתור התיקון משנה את ה-bind ל-loopback ומציג פרוקסי המאומת באמצעות טוקן בפורט 11435. ה-CVE אינו נמצא בקטלוג Known Exploited Vulnerabilities של CISA.

מיוחס. העובדה שביקור אחד בדף אינטרנט מספיק כדי לשכתב את תבנית הצ'אט של מודל, ושהשינוי שורד מפגשים מאוחרים יותר והנחיות מערכת שמסופקות על ידי הלקוח, היא הממצא של Oasis Security, כפי שדווח בכתיבת המחקר של Cyera ופורסם ב-CSO Online וב-eSecurity Planet. העובדה ש-macOS ו-Linux תוקנו ב-v0.0.35 וב-v0.0.106, בעוד שב-Windows וב-WSL ניתנה רק אזהרה ב-v0.0.34, היא הגרסה של Cloud Security Alliance; הגרסה הקצרה יותר של אותה טענה ב-CSO Online היא שהתיקון חל על מערכות שאינן Windows. רשימת ההשלכות במורד הזרם על סוכנים — קוד פגיע, אזהרות שהושתקו, חבילות שמוכוונות על ידי תוקף, הדלפת נתונים — היא תיאורה של Cyera את ההשפעות האפשריות, ולא תוצאה שנצפתה.

לא נקבע. כמה פריסות של NemoClaw פעלו עם כריכת 0.0.0.0, וכמה מהן היו נגישות מרשת סמוכה — איש לא פרסם. האם מסלול ההרעלה נכלל בתמחור ציון 8.1 של NVIDIA — לא ידוע; הווקטור שפורסם אינו נושא השפעת שלמות, ו-NVIDIA לא אמרה דבר לכאן או לכאן. לא תועדו קורבן, דוח תקרית או ניצול בשטח על ידי אף מקור שנבחן כאן, ואף קבוצת מחקר שנייה לא פרסמה שחזור.

הרשומה עצמה היא ממצא מחקרי, לא אירוע פריסה: הרשומה בארכיון נושאת חומרה גבוהה עם דירוג אמינות A, אינה מתעדת נזק בעולם המציאות, ומסומנת כלא־שנויה במחלוקת. זה תואם את מה שהמקורות מראים — פגיעוּת מתועדת היטב עם ניצול שהודגם וללא נפגעים מדווחים — וזו הסיבה שהטקסט הזה מפריד בין ההדגמה לתוצאותיה במקום להתייחס לשניים כטענה אחת.