NemoClaw CVE-2026-65105: una singola visita tramite browser ha riscritto il template di chat del modello

Il 25 agosto 2026 NVIDIA ha pubblicato il bollettino di sicurezza 5872 e ha classificato una vulnerabilità in NVIDIA NemoClaw, lo strumento Linux che esegue agenti OpenClaw all'interno di sandbox OpenShell, come Alta con un punteggio base CVSS di 8.1. CVE-2026-65105 è un bug di autenticazione mancante: NemoClaw avvia il server di inferenza Ollama su ogni interfaccia di rete e l'API di Ollama non dispone di un'autenticazione propria. I ricercatori di Oasis Security, citati per nome nei ringraziamenti di NVIDIA e ora in fase di acquisizione da parte di Cyera, hanno realizzato una dimostrazione in cui una sola visita a una pagina web controllata da un attaccante è bastata per raggiungere quel server dall'interno del browser e riscrivere il template di chat del modello, una modifica che è perdurata oltre le conversazioni successive e ha resistito anche quando l'agente ha fornito il proprio prompt di sistema. Non è stato registrato alcun sfruttamento nel mondo reale. La voce completa, con i suoi gradi di gravità e confidenza, si trova nell'Orca AI Incident Archive insieme agli incidenti vicini dello stesso mese.

Cosa ha pubblicato NVIDIA

Il bollettino è intitolato "Bollettino di sicurezza: NVIDIA NemoClaw e OpenShell - agosto 2026", ha il numero 5872 e la sua cronologia delle revisioni registra un'unica voce: versione 1.0.0, datata 2026-08-25. Si tratta di un riepilogo, non di un avviso relativo a una singola CVE: la tabella dei prodotti interessati al suo interno elenca diciotto CVE relative a due prodotti, da CVE-2026-65081 a CVE-2026-65105. La voce più rilevante del lotto è CVE-2026-65093, un'evasione dal sandbox in NVIDIA OpenShell per Linux valutata 9.9 Critica.

Per CVE-2026-65105 il bollettino afferma che la vulnerabilità "nella configurazione del proprio server di inferenza, in cui un attaccante remoto può accedere al servizio di inferenza senza autenticazione" e che un exploit riuscito "può portare a divulgazione di informazioni e denial of service". Il vettore pubblicato è CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — rete adiacente, bassa complessità, nessun privilegio, nessuna interazione utente, impatto elevato sulla riservatezza, impatto elevato sulla disponibilità — e la classe di debolezza è CWE-306, "Missing Authentication for Critical Function".

La tabella dei prodotti interessati di NVIDIA indica le versioni interessate come "0 to 0.0.25" per NemoClaw su Linux, e la versione aggiornata come "f06796ff3; 0.0.25" — un hash di commit abbinato allo stesso numero di versione che compare nella colonna delle versioni interessate. eSecurity Planet, nel segnalare la vulnerabilità il 27 agosto 2026, evidenzia proprio questa sovrapposizione e consiglia agli amministratori di "verificare che il codice distribuito contenga il commit di correzione invece di affidarsi unicamente al numero di versione".

La sezione dei ringraziamenti cita «CVE-2026-65105: Markus Halvorsen, Elad Luz di Oasis Security». Il record NVD relativo alla CVE è stato pubblicato il 25 agosto 2026 alle 21:17 UTC e modificato l'ultima volta il 1° settembre 2026; riporta il punteggio 8.1 di NVIDIA come unica valutazione CVSS v3.1, e la CVE non compare nel catalogo Known Exploited Vulnerabilities della CISA.

Un dettaglio nella voce di NVIDIA stessa merita di essere menzionato esplicitamente anziché essere attenuato. Il vettore non contiene affatto una componente di integrità — I:N, impatto sull'integrità nullo — e la descrizione di una riga menziona soltanto la divulgazione di informazioni e la negazione del servizio. L'affermazione centrale dei ricercatori, discussa di seguito, è che il template di chat del modello è stato modificato ed è rimasto tale. Quella lettura del vettore è nostra, non di NVIDIA: l'azienda non ha pubblicato alcuna dichiarazione sull'eventuale considerazione del percorso di riscrittura del template quando è stato assegnato il punteggio.

La configurazione che ha reso raggiungibile un server locale

NemoClaw distribuisce agenti OpenClaw all'interno di una sandbox OpenShell e supporta Ollama come backend di inferenza locale. Il problema di configurazione è un effetto collaterale di questa disposizione. Come spiega la ricerca di Cyera redatta da Elad Luz e Ofek Itach, OpenShell viene eseguito in Docker, quindi un server Ollama sull'indirizzo di loopback predefinito non è raggiungibile dall'interno del container. NemoClaw avvia quindi Ollama con OLLAMA_HOST=0.0.0.0:11434, che associa la porta 11434 su ogni interfaccia anziché solo sul loopback dell'host. Lo stesso documento rileva che l'installer mostra "Using Ollama on localhost:11434" anche se l'associazione effettiva è considerevolmente più ampia.

L'API di Ollama non prevede autenticazione. Le sue difese lato browser sono due: un middleware CORS che considera same-origin una richiesta il cui Origin coincide con il suo Host e lascia passare le richieste prive di header Origin, e un passaggio di validazione dell'header Host che normalmente accetta solo nomi host locali. La seconda difesa è quella che scompare nella configurazione di NemoClaw. La descrizione di Cyera è esplicita: «quando Ollama è associato a un indirizzo non loopback (come 0.0.0.0), la validazione dell'header Host viene saltata del tutto» — il codice controlla se l'indirizzo di bind è loopback e, in caso contrario, bypassa il controllo.

È questa combinazione che fa funzionare il DNS rebinding. Un visitatore carica una pagina da un dominio controllato dall'attaccante, con il JavaScript della pagina che si rivolge alla porta 11434. Il DNS dell'attaccante risolve quindi di nuovo lo stesso dominio su 127.0.0.1 o su un indirizzo sulla rete locale della vittima. Poiché la politica same-origin del browser è basata sul hostname, e il hostname non è cambiato, il browser continua a trattare la richiesta come same-origin. Ollama la riceve, salta la validazione dell'Host perché il suo bind non è loopback, e vede Origin uguale a Host — entrambi sono il dominio dell'attaccante — quindi il livello CORS la consente. La sintesi di Cyera del risultato è «accesso completo e non autenticato all'API». L'attaccante non ha bisogno di controllare nient'altro che il proprio dominio; non è necessario alcun punto d'appoggio sulla rete o sull'infrastruttura DNS della vittima.

La sandbox non copriva questo caso perché la falla si trova al di sotto di essa. eSecurity Planet descrive il bug come situato «nel livello di inferenza sotto quei controlli sandbox», quindi mettere l'agente in sandbox ha lasciato senza protezione il server del modello con cui comunica. Cyera esprime lo stesso concetto in termini più ampi: «Mettere l'agente in sandbox è necessario ma non sufficiente.» La nota di ricerca della Cloud Security Alliance sul caso, datata 27 agosto 2026, aggiunge che il binding non-loopback riattiva l'esposizione alla base di un precedente problema di rebinding di Ollama tracciato come CVE-2024-28224.

Vale la pena dirlo chiaramente, perché è un percorso di esposizione distinto dall'attacco al browser: associare il servizio a 0.0.0.0 mette anche l'API non autenticata direttamente sulla rete locale, così qualsiasi host che riesca a instradare verso la porta 11434 la raggiunge senza alcun DNS rebinding.

Da un template leggibile a uno riscritto

Una volta che JavaScript può raggiungere l'API, la ricognizione diventa ordinaria. Cyera elenca ciò che era raggiungibile nella dimostrazione: i nomi dei modelli installati, le dimensioni, le famiglie e le quantizzazioni da GET /api/tags, la versione esatta di Ollama da GET /api/version, i dettagli dei modelli, i prompt di sistema, i template e le licenze da POST /api/show, e il nome host e la chiave pubblica — o il nome utente con cui si è effettuato l'accesso — da POST /api/me. Anche gli endpoint distruttivi erano raggiungibili: POST /api/pull per scaricare modelli arbitrari e riempire il disco, POST /api/push per inviare modelli a ollama.com sotto l'account della vittima, DELETE /api/delete per rimuovere i modelli della vittima e POST /api/signout. Gli endpoint di inferenza, inclusa la rotta /v1/chat/completions compatibile con OpenAI, eseguirebbero i prompt sulla GPU della vittima.

La persistenza proveniva da uno di quegli endpoint. Il resoconto di Cyera spiega che iniettare un campo system nascosto tramite POST /api/create era inefficace contro OpenClaw, perché l'agente invia il proprio prompt di sistema nell'array messages e questo sovrascrive il campo system integrato nel modello. La via più efficace è il campo template che /api/create accetta anch'esso. Un template di chat di Ollama è un template Go che controlla come i messaggi vengono convertiti in testo grezzo prima dell'inferenza, e "il template viene applicato al momento dell'inferenza a tutti i messaggi, incluso qualsiasi prompt di sistema inviato dal client". Nella dimostrazione l'attaccante ha recuperato il template originale tramite /api/show, vi ha innestato l'iniezione mantenendo intatti il rendering degli strumenti, i token speciali e la formattazione dei ruoli, e lo ha ricaricato.

Ciò che consegue da tale collocazione è la parte che conta. Secondo Cyera, la modifica persiste in tutte le future conversazioni con il modello, sopravvive ai system prompt forniti dal client, è invisibile all'utente perché il nome, le dimensioni, i metadati e le capacità del modello appaiono invariati, e colpisce ogni utilizzatore del modello — CLI, client API e agenti allo stesso modo. L'inquadramento dello stesso write-up è che «il client non può rilevarlo né impedirlo» perché il template è «una proprietà a livello di modello invisibile ai consumatori delle API». CSO Online, che ha riportato il caso il 26 agosto 2026, cita Luz, il quale descrive il template come situato «un livello sotto tutto ciò che un guardrail o un operatore può vedere», e osserva che la modifica sopravvive a ogni sessione futura.

Le conseguenze che Cyera elenca per un agente in esecuzione su un template avvelenato sono potenziali, non osservate: inserire vulnerabilità nel codice generato, sopprimere avvisi di sicurezza, indirizzare le raccomandazioni verso pacchetti, URL o configurazioni controllati dall'attaccante ed esfiltrare dati di conversazione o di file laddove esista accesso in uscita. Il documento è anche attento a ciò che la sandbox delimita ancora — azioni a livello host su filesystem, rete e processi — notando al contempo che l'accesso autorizzato dell'agente al controllo del codice sorgente, a CI/CD, alle API interne, ai servizi cloud e ai server MCP è il punto in cui si annida la reale esposizione.

Ciò che la dimostrazione ha mostrato, e ciò che non ha mostrato

La proof of concept si è svolta in quattro fasi, come descritto da Cyera. I ricercatori si sono collegati a una sandbox NemoClaw e hanno inviato un prompt; l’agente ha risposto normalmente. Hanno poi aperto una pagina web che eseguiva DNS rebinding contro il server Ollama locale. Tale pagina leggeva la versione di Ollama, i modelli installati, il nome host e la chiave pubblica, e avvelenava il template del modello con un’istruzione nascosta. Reinviando lo stesso prompt si otteneva una risposta contenente il marcatore iniettato, senza che fosse apportata alcuna modifica all’agente stesso nella sandbox.

Questa è la forma più forte dell'affermazione che i ricercatori sostengono, ed è anche il punto in cui iniziano i limiti del fascicolo. Si tratta di una dimostrazione in una configurazione specifica — Ollama avviato con OLLAMA_HOST=0.0.0.0:11434 — e non di un'indagine sui sistemi effettivamente in uso. Nessuna vittima è nominata in alcun punto della documentazione esaminata per questo articolo: non nel bollettino di NVIDIA, non nel record NVD, non nell'analisi di Cyera, non nei resoconti di CSO Online o di eSecurity Planet. Nessuno di loro ha pubblicato un conteggio delle installazioni NemoClaw esposte, e nessuno di loro riporta casi di sfruttamento nell'ambiente reale. L'assenza di una voce nell'elenco CISA KEV è un fatto relativo al catalogo, non la prova che nessuno ci abbia provato.

Un commento indipendente è arrivato da Randolph Barr di Cequence Security, citato da CSO Online: "Il DNS rebinding è un trucco da festa dei browser da oltre un decennio", ha detto, mentre "puntarlo contro un server modello locale non autenticato è la parte nuova". Questa è una descrizione corretta della novità in questione — la tecnica del browser è vecchia e la classe di bersagli è nuova — ed è anche un promemoria del fatto che la divulgazione si basa sulla dimostrazione di un'unica squadra di ricerca. Nessuna replica indipendente del risultato dell'avvelenamento dei template è stata trovata nella copertura esaminata per questo articolo.

La correzione e il divario di Windows

Il commit che NVIDIA indica come correzione, f06796ff3, è intitolato "fix(security): vincola Ollama a localhost con proxy autenticato". Se letto in relazione al repository pubblico, fa tre cose. Modifica il percorso di inferenza locale in modo che Ollama venga avviato su 127.0.0.1:11434 anziché su 0.0.0.0:11434. Aggiunge un piccolo proxy inverso autenticato, scripts/ollama-auth-proxy.js, che ascolta su 0.0.0.0:11435 e convalida un token bearer generato per istanza durante l'onboarding e memorizzato nella credenziale del provider OpenShell, così che il gateway containerizzato possa comunque raggiungere l'inferenza mentre qualsiasi elemento privo del token riceve un 401; GET /api/tags è deliberatamente esentato per i controlli di integrità dei container. E aggiorna lo script di setup e i test di inferenza locale alla porta del proxy. Il messaggio di commit registra il ticket interno come "PSIRT bug 6002780, CVSS 7.5 High", rispetto all'8.1 che NVIDIA ha successivamente pubblicato per la CVE.

Lo stato di remediation oltre quel commit è il punto in cui le fonti divergono, e la divergenza dovrebbe essere segnalata anziché risolta. CSO Online riporta che "la vulnerabilità è ora stata corretta da Nvidia per i sistemi non Windows". La nota del Cloud Security Alliance del 27 agosto 2026 è più specifica: afferma che macOS e Linux sono stati corretti nella v0.0.35, che una build successiva, la v0.0.106, rifiuta di avviarsi a meno che Ollama non sia vincolato al loopback, e che "la remediation di NVIDIA copre macOS e Linux ma, al momento della pubblicazione, non si estende a Windows o WSL". In quella ricostruzione il controllo all'avvio "non raggiunge il percorso di codice usato su Windows e WSL", la v0.0.34 "ha aggiunto solo un avviso anziché imporre il binding al loopback", e "le distribuzioni Windows e WSL sono rimaste esposte al momento della divulgazione". Il bollettino di NVIDIA stesso ne supporta solo in parte questa versione: la sua tabella dei prodotti interessati limita CVE-2026-65105 a Linux, indica un unico commit e una unica versione aggiornati, e non elenca alcuna voce Windows né tra i prodotti interessati né tra quelli corretti. NVIDIA non ha risposto a tale discrepanza in alcun documento esaminato qui.

La dichiarazione pubblica di NVIDIA è arrivata dopo la pubblicazione, su CSO Online: «Apprezziamo la scoperta e la segnalazione dei ricercatori», ha affermato l'azienda, aggiungendo che «Nvidia ha rilasciato un aggiornamento che i clienti possono scaricare e installare».

Le misure a livello di operatore elencate da eSecurity Planet sono il residuo pratico della documentazione:

• Aggiorna NemoClaw e verifica che il codice distribuito contenga il commit f06796ff3, invece di fidarti della stringa di versione, poiché 0.0.25 compare sia nella colonna interessata sia in quella aggiornata.

• Limita Ollama a 127.0.0.1, a meno che non sia esplicitamente necessario un accesso più ampio: ciò rimuove il bind non-loopback che causa l'omissione della validazione dell'Host.

• Mettere un proxy autenticato e controlli firewall davanti ai servizi di inferenza invece di affidarsi al confine di rete dell'applicazione stessa.

• Monitorare le interfacce di ascolto, i template dei modelli, le impostazioni dei modelli e l'attività delle API per rilevare modifiche impreviste, poiché il template avvelenato lascia invariati nome, dimensioni e metadati del modello.

Conserva copie di riferimento sicure di template dei modelli e impostazioni per il rilevamento e il ripristino delle manomissioni, e verifica i piani di risposta agli incidenti per avvelenamento dei modelli e inferenza esposta — isolamento, controlli di integrità, rotazione e ripristino delle credenziali.

• Applica il principio dei privilegi minimi a tutto ciò che l'agente può raggiungere: repository, sistemi CI/CD, API, risorse cloud e credenziali, perché la sandbox limita le azioni sull'host ma non le autorizzazioni concesse all'agente.

Ciò che è stabilito, ciò che è attribuito e ciò che non è noto

Confermato. NVIDIA ha pubblicato il bollettino 5872 il 25 agosto 2026 riguardante CVE-2026-65105, con valutazione 8.1 Alta, CWE-306, che interessa NemoClaw per Linux nelle versioni da 0 a 0.0.25 ed è corretta con il commit f06796ff3. Il record NVD conferma il punteggio, il vettore e la classe di debolezza indipendentemente dalla pagina del bollettino stesso. Il riconoscimento di NVIDIA cita Markus Halvorsen ed Elad Luz di Oasis Security. Il commit pubblico indicato come correzione modifica il bind su loopback e introduce un proxy autenticato tramite token sulla porta 11435. Il CVE non è presente nel catalogo Known Exploited Vulnerabilities di CISA.

Attribuito. Che una singola visita a una pagina web sia sufficiente a riscrivere il template di chat di un modello e che la modifica sopravviva a sessioni successive e ai prompt di sistema forniti dal client è la scoperta di Oasis Security, riportata nel documento di ricerca di Cyera e ripresa da CSO Online ed eSecurity Planet. Che macOS e Linux siano stati corretti nelle versioni v0.0.35 e v0.0.106, mentre Windows e WSL siano stati solo oggetto di avviso nella v0.0.34, è la versione della Cloud Security Alliance; la versione più breve di CSO Online della stessa affermazione è che la patch copre i sistemi non Windows. L'elenco delle conseguenze a valle per gli agenti — codice vulnerabile, avvisi soppressi, pacchetti dirottati dall'attaccante, esfiltrazione di dati — è la descrizione di Cyera dei potenziali effetti, non un esito osservato.

Non stabilito. Quante distribuzioni di NemoClaw siano state eseguite con il bind 0.0.0.0, e quante fossero raggiungibili da una rete adiacente, non è stato pubblicato da nessuno. Se il percorso di avvelenamento sia stato contemplato nel punteggio 8.1 di NVIDIA è ignoto — il vettore pubblicato non riporta alcun impatto sull'integrità, e NVIDIA non si è espressa in alcun modo al riguardo. Nessuna vittima, nessun rapporto di incidente e nessuno sfruttamento in the wild è stato registrato da alcuna fonte esaminata qui, e nessun secondo gruppo di ricerca ha pubblicato una replica.

Il record stesso è un risultato di ricerca, non un evento di deployment: la voce d'archivio riporta gravità alta con un grado di affidabilità A, non registra danni nel mondo reale e lo contrassegna come non contestato. Ciò corrisponde a quanto mostrano le fonti — una vulnerabilità ben documentata con un exploit dimostrato e nessuna vittima segnalata — ed è il motivo per cui questo articolo separa la dimostrazione dalle sue conseguenze anziché trattare le due cose come un'unica affermazione.