NemoClaw CVE-2026-65105: Jedna wizyta w przeglądarce wystarczyła, by nadpisać szablon czatu modelu

25 sierpnia 2026 r. NVIDIA opublikowała biuletyn bezpieczeństwa 5872 i oceniła lukę w NVIDIA NemoClaw — narzędziu dla systemu Linux, które uruchamia agentów OpenClaw w piaskownicach OpenShell — jako Wysoką, z bazowym wynikiem CVSS 8,1. CVE-2026-65105 to błąd braku uwierzytelniania: NemoClaw uruchamia serwer wnioskowania Ollama na każdym interfejsie sieciowym, a API Ollama nie ma własnego mechanizmu uwierzytelniania. Badacze z Oasis Security — wymienieni z nazwy w podziękowaniach NVIDIA, przy czym Oasis Security jest obecnie przejmowane przez Cyera — zbudowali demonstrację, w której pojedyncza wizyta na stronie internetowej kontrolowanej przez atakującego wystarczyła, aby z wnętrza przeglądarki dotrzeć do tego serwera i nadpisać szablon czatu modelu — zmianę, która przetrwała późniejsze rozmowy i utrzymała się nawet wtedy, gdy agent dostarczył własny prompt systemowy. Nie odnotowano żadnego wykorzystania w rzeczywistym środowisku. Pełny wpis, wraz z ocenami ważności i pewności, znajduje się w Archiwum Incydentów Orca AI obok sąsiednich incydentów z tego samego miesiąca.

Co opublikowała NVIDIA

Biuletyn nosi tytuł „{{1}}Biuletyn bezpieczeństwa: NVIDIA NemoClaw i OpenShell – sierpień 2026{{/1}}”, ma numer {{2}}5872{{/2}}, a jego historia zmian zawiera pojedynczy wpis: wersję {{3}}1.0.0{{/3}} z dnia {{4}}2026-08-25{{/4}}. To zestawienie, a nie doradztwo dotyczące pojedynczego CVE — zawarta w nim tabela produktów, których dotyczy problem, wymienia {{5}}osiemnaście CVE{{/5}} w dwóch produktach, od {{6}}CVE-2026-65081{{/6}} do {{7}}CVE-2026-65105{{/7}}. Największą pozycją w zestawie jest {{8}}CVE-2026-65093{{/8}}, ucieczka z piaskownicy w NVIDIA OpenShell dla systemu Linux, oceniona jako {{9}}9.9 Krytyczny{{/9}}.

W przypadku CVE-2026-65105 komunikat podaje, że luka polega na "in its inference server setup, where a remote attacker may access the inference service without authentication" — wait, must translate everything except KEEP. There's no KEEP. Let me translate the whole thing. W przypadku CVE-2026-65105 komunikat stwierdza, że podatność "in its inference server setup, where a remote attacker may access the inference service without authentication" — no, translate quoted text too. W przypadku CVE-2026-65105 komunikat stwierdza, że podatność "w konfiguracji serwera wnioskowania, gdzie zdalny atakujący może uzyskać dostęp do usługi wnioskowania bez uwierzytelniania" oraz że udana eksploatacja "może prowadzić do ujawnienia informacji i odmowy usługi". Opublikowany wektor to CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — sieć sąsiadująca, niska złożoność, brak uprawnień, brak interakcji użytkownika, wysoki wpływ na poufność, wysoki wpływ na dostępność — a klasa słabości to CWE-306, "Brak uwierzytelniania dla funkcji krytycznej".

Tabela produktów objętych problemem NVIDIA podaje wersje objęte problemem jako „0 to 0.0.25” dla NemoClaw w systemie Linux, a wersję zaktualizowaną jako „f06796ff3; 0.0.25” — skrót commita w parze z tym samym numerem wersji, który pojawia się w kolumnie wersji objętych problemem. eSecurity Planet, informując o luce 27 sierpnia 2026 r., dokładnie wskazuje tę zbieżność i zaleca administratorom, aby „weryfikowali, czy wdrożony kod zawiera commit naprawiający, zamiast polegać wyłącznie na numerze wersji”.

W sekcji podziękowań wymieniono „CVE-2026-65105: Markus Halvorsen, Elad Luz z Oasis Security”. Rekord NVD dotyczący tego CVE opublikowano 25 sierpnia 2026 r. o 21:17 UTC, a ostatnio zmodyfikowano 1 września 2026 r.; zawiera on ocenę 8.1 firmy NVIDIA jako jedyną ocenę CVSS v3.1, a CVE nie występuje w katalogu Known Exploited Vulnerabilities CISA.

Jedna kwestia w samym wpisie NVIDIA zasługuje na wyraźne zaznaczenie, zamiast łagodnego pominięcia. Wektor nie zawiera w ogóle komponentu integralności — I:N, wpływ na integralność: brak — a jednolinijkowy opis wspomina jedynie o ujawnieniu informacji i odmowie usługi. Centralne twierdzenie badaczy, omówione poniżej, głosi, że szablon czatu modelu został zmodyfikowany i pozostał zmodyfikowany. Ta interpretacja wektora jest nasza, nie NVIDIA: firma nie opublikowała żadnego oświadczenia, czy ścieżkę modyfikacji szablonu brano pod uwagę przy przyznawaniu wyniku.

Konfiguracja, która umożliwiła dostęp do lokalnego serwera

NemoClaw wdraża agentów OpenClaw wewnątrz piaskownicy OpenShell i obsługuje Ollama jako lokalny backend wnioskowania. Problem z konfiguracją jest skutkiem ubocznym tego rozwiązania. Jak wyjaśnia analiza Cyera autorstwa Elada Luza i Ofeka Itacha, OpenShell działa w Dockerze, więc serwer Ollama na domyślnym adresie pętli zwrotnej jest nieosiągalny z wnętrza kontenera. Dlatego NemoClaw uruchamia Ollama z OLLAMA_HOST=0.0.0.0:11434, co wiąże port 11434 ze wszystkimi interfejsami, a nie tylko z pętlą zwrotną hosta. W tej samej analizie zauważono, że instalator wyświetla „Using Ollama on localhost:11434”, mimo że faktyczne powiązanie jest znacznie szersze.

API Ollama nie ma uwierzytelniania. Jej zabezpieczenia działające po stronie przeglądarki są dwa: middleware CORS, który traktuje żądanie, którego nagłówek Origin jest równy nagłówkowi Host, jako pochodzące z tego samego źródła (same-origin) i przepuszcza żądania bez nagłówka Origin, oraz etap walidacji nagłówka Host, który normalnie akceptuje tylko lokalne nazwy hostów. To właśnie drugie zabezpieczenie znika w konfiguracji NemoClaw. Cyera wprost stwierdza, że „gdy Ollama jest powiązana z adresem innym niż loopback (np. 0.0.0.0), walidacja nagłówka Host jest całkowicie pomijana” — kod sprawdza, czy adres powiązania jest adresem loopback, i w przeciwnym razie omija tę kontrolę.

Ta kombinacja sprawia, że DNS rebinding działa. Odwiedzający ładuje stronę z domeny kontrolowanej przez atakującego, a JavaScript tej strony kieruje żądania do portu 11434. DNS atakującego rozwiązuje następnie tę samą domenę ponownie na 127.0.0.1 lub na adres w lokalnej sieci ofiary. Ponieważ polityka same-origin przeglądarki jest oparta na nazwie hosta, a nazwa hosta się nie zmieniła, przeglądarka nadal traktuje żądanie jako same-origin. Ollama je odbiera, pomija walidację Host, ponieważ jego adres bindowania nie jest loopbackiem, i widzi Origin równe Host — oba są domeną atakującego — więc warstwa CORS je przepuszcza. Podsumowanie wyniku według Cyery to „pełny, nieuwierzytelniony dostęp do API”. Atakujący musi kontrolować wyłącznie własną domenę; nie jest wymagane zdobycie przyczółka w sieci ofiary ani w jej infrastrukturze DNS.

Piaskownica nie objęła tego problemu, ponieważ wada znajduje się poniżej niej. eSecurity Planet opisuje tę wadę jako ulokowaną „w warstwie wnioskowania poniżej tych mechanizmów kontrolnych piaskownicy”, więc umieszczenie agenta w piaskownicy pozostawiło serwer modelu, z którym się on komunikuje, bez ochrony. Cyera ujmuje tę samą kwestię szerzej: „Umieszczenie agenta w piaskownicy jest konieczne, ale niewystarczające”. Notatka badawcza Cloud Security Alliance dotycząca tego przypadku, datowana na 27 sierpnia 2026 r., dodaje, że bindowanie inne niż loopback ożywia ekspozycję stojącą za wcześniejszym problemem rebindingowym Ollama, rejestrowanym jako CVE-2024-28224.

Warto powiedzieć to wprost, bo to odrębna ścieżka ekspozycji niż atak przez przeglądarkę: powiązanie z 0.0.0.0 wystawia też nieuwierzytelnione API bezpośrednio na sieć lokalną, więc każdy host, który potrafi trasować do portu 11434, dociera do niego bez żadnego DNS rebinding.

Od czytelnego szablonu do przepisanego szablonu

Gdy JavaScript uzyska dostęp do API, rekonesans staje się rutynowy. Cyera wymienia, co było osiągalne w demonstracji: nazwy, rozmiary, rodziny i kwantyzacje zainstalowanych modeli z GET /api/tags, dokładną wersję Ollama z GET /api/version, szczegóły modeli, prompty systemowe, szablony i licencje z POST /api/show oraz nazwę hosta i klucz publiczny — albo nazwę zalogowanego użytkownika — z POST /api/me. Destrukcyjne endpointy również były osiągalne: POST /api/pull do pobierania dowolnych modeli i zapełniania dysku, POST /api/push do wypychania modeli na ollama.com na koncie ofiary, DELETE /api/delete do usuwania modeli ofiary oraz POST /api/signout. Endpointy wnioskowania, w tym zgodna z OpenAI trasa /v1/chat/completions, uruchamiałyby prompty na GPU ofiary.

Persystencja pochodziła z jednego z tych endpointów. Analiza Cyery wyjaśnia, że wstrzyknięcie ukrytego pola systemowego przez POST /api/create było nieskuteczne wobec OpenClaw, ponieważ agent wysyła własny prompt systemowy w tablicy messages, który nadpisuje wbudowane pole systemowe modelu. Skuteczniejszą drogą jest pole template, które również akceptuje /api/create. Szablon czatu Ollama to szablon Go, który kontroluje, jak wiadomości są renderowane do surowego tekstu przed wnioskowaniem, a „szablon jest stosowany w czasie wnioskowania do wszystkich wiadomości, w tym do każdego promptu systemowego wysyłanego przez klienta”. W demonstracji atakujący pobrał oryginalny szablon przez /api/show, wstawił do niego iniekcję, zachowując bez zmian renderowanie narzędzi, specjalne tokeny i formatowanie ról, a następnie przesłał go ponownie.

To, co wynika z tego umiejscowienia, jest najistotniejsze. Według Cyera modyfikacja utrzymuje się we wszystkich przyszłych rozmowach z modelem, przetrwa systemowe prompty dostarczane przez klienta, jest niewidoczna dla użytkownika, ponieważ nazwa, rozmiar, metadane i możliwości modelu wyglądają na niezmienione, oraz dotyka każdego konsumenta modelu — CLI, klientów API i agentów. W samym opisie ujęto to tak, że „klient nie może tego wykryć ani zapobiec”, ponieważ szablon jest „właściwością na poziomie modelu niewidoczną dla konsumentów API”. CSO Online, relacjonując sprawę 26 sierpnia 2026 r., cytuje Luz, który opisuje szablon jako znajdujący się „jedną warstwę poniżej wszystkiego, co może zobaczyć guardrail lub operator”, i zauważa, że zmiana utrzymuje się w każdej przyszłej sesji.

Konsekwencje, jakie Cyera wymienia w przypadku agenta działającego na zatrutym szablonie, mają charakter potencjalny, a nie zaobserwowany: wstrzykiwanie podatności do wygenerowanego kodu, wyciszanie ostrzeżeń bezpieczeństwa, ukierunkowywanie rekomendacji na pakiety, adresy URL lub konfiguracje kontrolowane przez atakującego oraz eksfiltracja danych z rozmów lub plików, wszędzie tam, gdzie istnieje dostęp wychodzący. Opracowanie starannie wskazuje też, co nadal ogranicza sandbox — działania na poziomie systemu plików hosta, sieci i procesów — zauważając jednocześnie, że autoryzowany dostęp agenta do systemów kontroli wersji, CI/CD, wewnętrznych API, usług chmurowych i serwerów MCP to miejsce, w którym kryje się rzeczywista ekspozycja.

Co pokazała demonstracja, a czego nie

Dowód koncepcji przebiegał w czterech etapach, jak opisuje to Cyera. Badacze połączyli się z piaskownicą NemoClaw i wysłali prompt; agent odpowiedział normalnie. Następnie otworzyli stronę internetową, która przeprowadziła atak DNS rebinding na lokalny serwer Ollama. Strona ta odczytała wersję Ollama, zainstalowane modele, nazwę hosta oraz klucz publiczny, a następnie zatruła szablon modelu ukrytą instrukcją. Ponowne wysłanie tego samego promptu zwróciło odpowiedź zawierającą wstrzyknięty znacznik, przy czym sam agent w piaskownicy pozostał niezmieniony.

To najsilniejsza forma twierdzenia, jakie formułują badacze, i zarazem miejsce, w którym zaczynają się granice tego zapisu. To demonstracja w określonej konfiguracji — Ollama uruchomiona z OLLAMA_HOST=0.0.0.0:11434 — a nie przegląd wdrożonych systemów. W żadnym z materiałów przejrzanych na potrzeby tego artykułu nie wskazano ofiary: ani w biuletynie NVIDIA, ani w rekordzie NVD, ani w opracowaniu Cyera, ani w doniesieniach CSO Online lub eSecurity Planet. Żadna z tych stron nie opublikowała liczby eksponowanych instalacji NemoClaw i żadna nie donosi o wykorzystaniu w rzeczywistych warunkach. Brak wpisu w CISA KEV jest faktem dotyczącym katalogu, a nie dowodem, że nikt nie próbował.

Niezależny komentarz pochodzi od Randolpha Barra z Cequence Security, cytowanego przez CSO Online: „DNS rebinding jest popisową sztuczką przeglądarkową od ponad dekady” – powiedział, dodając, że „nowością jest skierowanie jej na nieuwierzytelniony lokalny serwer modelu”. To trafny opis nowości w tym przypadku – technika przeglądarkowa jest stara, a klasa celów nowa – jest to także przypomnienie, że ujawnienie opiera się na demonstracji jednego zespołu badawczego. W materiałach przejrzanych na potrzeby tego artykułu nie znaleziono niezależnej replikacji wyniku zatruwania szablonu.

Poprawka i luka w Windows

Commit, który NVIDIA wskazuje jako poprawkę, f06796ff3, nosi tytuł "fix(security): bind Ollama to localhost with authenticated proxy". W zestawieniu z publicznym repozytorium wprowadza trzy zmiany. Zmienia lokalną ścieżkę wnioskowania, tak że Ollama jest uruchamiana na 127.0.0.1:11434 zamiast 0.0.0.0:11434. Dodaje mały uwierzytelniany odwrotny serwer proxy, scripts/ollama-auth-proxy.js, który nasłuchuje na 0.0.0.0:11435 i weryfikuje token bearer generowany dla każdej instancji podczas onboarding i przechowywany w poświadczeniu dostawcy OpenShell, dzięki czemu skonteneryzowana brama nadal może uzyskać dostęp do wnioskowania, podczas gdy wszystko bez tokena otrzymuje 401; GET /api/tags jest celowo wyłączone z tej weryfikacji na potrzeby kontroli stanu kontenera. Oraz aktualizuje skrypt konfiguracyjny i testy lokalnego wnioskowania, aby używały portu proxy. Komunikat commita rejestruje wewnętrzne zgłoszenie jako "PSIRT bug 6002780, CVSS 7.5 High", w porównaniu z oceną 8.1, którą NVIDIA później opublikowała dla tego CVE.

Status remediacji wykraczający poza ten commit to punkt, w którym źródła się rozchodzą, a rozbieżność należy zgłosić, a nie rozstrzygać. CSO Online podaje, że „luka została już załatana przez Nvidię w systemach innych niż Windows”. Notatka Cloud Security Alliance z 27 sierpnia 2026 r. jest bardziej szczegółowa: stwierdza, że macOS i Linux poprawiono w wersji v0.0.35, że późniejsza kompilacja, v0.0.106, odmawia uruchomienia, chyba że Ollama jest powiązana z pętlą zwrotną, oraz że „remediacja NVIDIA obejmuje macOS i Linux, ale na moment publikacji nie rozciąga się na Windows lub WSL”. W tym opisie kontrola startowa „nie dociera do ścieżki kodu używanej w Windows i WSL”, v0.0.34 „dodała jedynie ostrzeżenie zamiast wymuszać powiązanie z pętlą zwrotną”, a „wdrożenia Windows i WSL pozostawały podatne w momencie ujawnienia”. Własny biuletyn NVIDIA potwierdza tylko część tego: jego tabela produktów objętych problemem zawęża CVE-2026-65105 do Linux, podaje pojedynczy zaktualizowany commit i wersję oraz nie wymienia żadnego wpisu Windows ani jako objętego problemem, ani jako poprawionego. NVIDIA nie odniosła się do tej rozbieżności w żadnym dokumencie przeanalizowanym tutaj.

Publiczne oświadczenie NVIDIA pojawiło się po publikacji w CSO Online: „Doceniamy odkrycie i zgłoszenie badaczy” – stwierdziła spółka, dodając, że „Nvidia wydała aktualizację, którą klienci mogą pobrać i zainstalować”.

Środki po stronie operatora wymienione przez eSecurity Planet stanowią praktyczną pozostałość zapisu:

• Zaktualizuj NemoClaw i potwierdź, że wdrożony kod zawiera commit f06796ff3, zamiast ufać ciągowi wersji, ponieważ 0.0.25 występuje zarówno w kolumnie „objęte”, jak i „zaktualizowane”.

Ogranicz Ollama do 127.0.0.1, chyba że szerszy dostęp jest wyraźnie wymagany — usuwa to powiązanie inne niż pętla zwrotna (non-loopback bind), które powoduje pomijanie walidacji nagłówka Host.

• Umieść uwierzytelniony serwer proxy i mechanizmy kontroli zapory przed usługami wnioskowania, zamiast polegać na własnej granicy sieciowej aplikacji.

• Monitoruj interfejsy nasłuchiwania, szablony modeli, ustawienia modeli i aktywność API pod kątem nieoczekiwanych zmian, ponieważ skażony szablon pozostawia nazwę, rozmiar i metadane modelu bez zmian.

• Przechowuj sprawdzone kopie szablonów modeli i ustawień na potrzeby wykrywania manipulacji i odzyskiwania oraz testuj plany reagowania na incydenty związane z zatruciem modeli i ujawnieniem wnioskowania — izolacja, kontrole integralności, rotacja poświadczeń i przywracanie.

• Zastosuj zasadę najmniejszych uprawnień do wszystkiego, do czego agent ma dostęp: repozytoriów, systemów CI/CD, interfejsów API, zasobów chmury i poświadczeń, ponieważ piaskownica ogranicza działania na hoście, ale nie uprawnienia przyznane agentowi.

Co jest ustalone, co jest przypisywane, a co nie jest znane

Ustalono. NVIDIA opublikowała 25 sierpnia 2026 r. biuletyn 5872 dotyczący CVE-2026-65105 ocenionego na 8,1 (High), CWE-306, mającego wpływ na NemoClaw dla systemu Linux w wersjach od 0 do 0.0.25 i naprawionego w commicie f06796ff3. Wpis NVD niezależnie od strony samego biuletynu potwierdza ocenę, wektor i klasę słabości. W podziękowaniach NVIDIA wymienia Markusa Halvorsena i Elada Luza z Oasis Security. Publiczny commit wskazany jako poprawka zmienia powiązanie na loopback i wprowadza proxy uwierzytelniane tokenem na porcie 11435. CVE nie znajduje się w katalogu CISA Known Exploited Vulnerabilities.

Przypisane. To, że jedna wizyta na stronie internetowej wystarcza do przepisania szablonu czatu modelu i że zmiana ta przetrwa późniejsze sesje oraz prompty systemowe dostarczane przez klienta, jest ustaleniem Oasis Security, opisanym w materiale badawczym firmy Cyera i relacjonowanym przez CSO Online oraz eSecurity Planet. To, że macOS i Linux naprawiono w wersjach v0.0.35 i v0.0.106, podczas gdy Windows i WSL jedynie ostrzeżono w v0.0.34, to relacja Cloud Security Alliance; krótsza wersja tego samego twierdzenia w CSO Online głosi, że poprawka obejmuje systemy inne niż Windows. Lista konsekwencji dla agenta w dalszym łańcuchu — podatny kod, wyciszone ostrzeżenia, pakiety sterowane przez atakującego, eksfiltracja danych — to opis potencjalnych skutków według Cyera, a nie zaobserwowany wynik.

Nie ustalono. Nikt nie opublikował, ile wdrożeń NemoClaw działało z bindowaniem 0.0.0.0 i ile było osiągalnych z sąsiedniej sieci. Nie wiadomo, czy ścieżka zatrucia została uwzględniona w ocenie 8.1 NVIDIA — opublikowany wektor nie zawiera wpływu na integralność, a NVIDIA nie wypowiedziała się na ten temat w żadną stronę. Żadne źródło przeglądane tutaj nie odnotowało ofiary, raportu o incydencie ani wykorzystania w rzeczywistym środowisku, a żadna druga grupa badawcza nie opublikowała replikacji.

Sam rekord jest wynikiem badania, a nie zdarzeniem wdrożeniowym: wpis w archiwum ma wysoką dotkliwość i ocenę pewności A, nie odnotowuje żadnych szkód w świecie rzeczywistym i jest oznaczony jako bezsporny. To pokrywa się z tym, co przedstawiają źródła — dobrze udokumentowana podatność z wykazanym wykorzystaniem i bez zgłoszonych ofiar — i dlatego ten tekst oddziela demonstrację od jej konsekwencji, zamiast traktować oba te elementy jako jedno twierdzenie.