NemoClaw CVE-2026-65105: Một lần truy cập trình duyệt đã viết lại mẫu trò chuyện của mô hình

Ngày 25 tháng 8 năm 2026, NVIDIA đã công bố bản tin bảo mật 5872 và xếp một lỗ hổng trong NVIDIA NemoClaw, công cụ Linux chạy các tác nhân OpenClaw bên trong hộp cát OpenShell, ở mức High với điểm cơ sở CVSS là 8.1. CVE-2026-65105 là một lỗi thiếu xác thực: NemoClaw khởi động máy chủ suy luận Ollama trên mọi giao diện mạng, và API của Ollama không có cơ chế xác thực riêng. Các nhà nghiên cứu của Oasis Security, được ghi tên trong phần ghi nhận của NVIDIA và hiện đang được Cyera mua lại, đã xây dựng một bản trình diễn, trong đó chỉ một lần truy cập vào trang web do kẻ tấn công kiểm soát là đủ để tiếp cận máy chủ đó từ bên trong trình duyệt và viết lại mẫu trò chuyện của mô hình — một thay đổi vẫn còn hiệu lực qua các cuộc trò chuyện về sau và vẫn tồn tại ngay cả khi tác nhân cung cấp lời nhắc hệ thống của riêng nó. Chưa ghi nhận trường hợp khai thác nào trong thực tế. Mục đầy đủ, cùng với các mức độ nghiêm trọng và độ tin cậy của nó, nằm trong Orca AI Incident Archive cùng với những sự cố liền kề trong cùng tháng.

NVIDIA đã công bố những gì

Bản tin có tiêu đề “Bản tin bảo mật: NVIDIA NemoClaw và OpenShell - Tháng 8 năm 2026”, mang số 5872, và lịch sử sửa đổi của bản tin ghi nhận một mục duy nhất: phiên bản 1.0.0, ngày 2026-08-25. Đây là bản tổng hợp, không phải khuyến cáo bảo mật chỉ về một CVE — bảng sản phẩm bị ảnh hưởng trong bản tin liệt kê mười tám CVE trên hai sản phẩm, từ CVE-2026-65081 đến CVE-2026-65105. Mục lớn nhất trong đợt này là CVE-2026-65093, một lỗ hổng thoát khỏi sandbox trong NVIDIA OpenShell dành cho Linux, được đánh giá 9.9 Nghiêm trọng.

Đối với CVE-2026-65105, bản tin nêu rõ lỗ hổng “trong thiết lập máy chủ suy luận của nó, nơi kẻ tấn công từ xa có thể truy cập dịch vụ suy luận mà không cần xác thực”, và rằng việc khai thác thành công “có thể dẫn đến tiết lộ thông tin và từ chối dịch vụ”. Vector đã công bố là CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — mạng lân cận, độ phức tạp thấp, không yêu cầu đặc quyền, không cần tương tác người dùng, tác động cao đến tính bảo mật, tác động cao đến tính khả dụng — và lớp điểm yếu là CWE-306, “Thiếu xác thực đối với chức năng quan trọng”.

Bảng sản phẩm bị ảnh hưởng của NVIDIA liệt kê các phiên bản bị ảnh hưởng là "0 đến 0.0.25" đối với NemoClaw trên Linux, và phiên bản đã cập nhật là "f06796ff3; 0.0.25" — một mã băm commit được ghép với cùng số phiên bản xuất hiện trong cột bị ảnh hưởng. eSecurity Planet, khi đưa tin về lỗ hổng này vào ngày 27 tháng 8 năm 2026, đã chỉ ra chính xác sự trùng lặp đó và khuyên các quản trị viên "xác minh rằng mã đã triển khai có chứa commit khắc phục thay vì chỉ dựa vào số phiên bản".

Phần ghi nhận ghi công "CVE-2026-65105: Markus Halvorsen, Elad Luz của Oasis Security". Bản ghi NVD của CVE này được công bố vào ngày 25 tháng 8 năm 2026 lúc 21:17 UTC và được sửa đổi lần cuối vào ngày 1 tháng 9 năm 2026; bản ghi mang điểm 8.1 của NVIDIA với tư cách là đánh giá CVSS v3.1 duy nhất, và CVE này không xuất hiện trong danh mục Lỗ hổng đã bị khai thác đã biết (Known Exploited Vulnerabilities) của CISA.

Một chi tiết trong mục của chính NVIDIA đáng được nêu rõ thay vì lấp liếm. Vector hoàn toàn không có thành phần toàn vẹn nào — I:N, integrity impact none — và phần mô tả một dòng chỉ đề cập đến việc tiết lộ thông tin và từ chối dịch vụ. Tuyên bố trung tâm của các nhà nghiên cứu, được thảo luận bên dưới, là chat template của mô hình đã bị sửa đổi và vẫn giữ nguyên sửa đổi đó. Cách diễn giải vector đó là của chúng tôi, không phải của NVIDIA: công ty không công bố bất kỳ tuyên bố nào về việc liệu đường dẫn viết lại template có được xem xét khi điểm số được chỉ định hay không.

Thiết lập giúp máy chủ cục bộ có thể truy cập được

NemoClaw triển khai các agent OpenClaw bên trong một hộp cát OpenShell và hỗ trợ Ollama như một backend suy luận cục bộ. Vấn đề cấu hình là hệ quả phụ của cách bố trí đó. Như bài viết nghiên cứu của Cyera do Elad Luz và Ofek Itach giải thích, OpenShell chạy trong Docker, nên một máy chủ Ollama trên địa chỉ loopback mặc định không thể truy cập được từ bên trong container. Vì vậy NemoClaw khởi động Ollama với OLLAMA_HOST=0.0.0.0:11434, giá trị này liên kết cổng 11434 trên mọi giao diện thay vì chỉ trên loopback của máy chủ. Cùng bài viết đó lưu ý rằng trình cài đặt hiển thị "Using Ollama on localhost:11434" mặc dù liên kết thực tế rộng hơn đáng kể.

API của Ollama không có xác thực. Các biện pháp phòng vệ hướng trình duyệt của nó gồm hai: một middleware CORS coi request có Origin bằng Host của nó là cùng origin và cho phép các request không có header Origin đi qua, và một bước xác thực header Host mà thông thường chỉ chấp nhận tên máy cục bộ. Biện pháp phòng vệ thứ hai là biện pháp biến mất dưới cấu hình của NemoClaw. Bài viết của Cyera nói rõ rằng "khi Ollama được liên kết với một địa chỉ không phải loopback (chẳng hạn như 0.0.0.0), bước xác thực header Host bị bỏ qua hoàn toàn" — mã kiểm tra xem địa chỉ liên kết có phải loopback không và nếu không thì bỏ qua bước kiểm tra.

Sự kết hợp đó chính là điều khiến DNS rebinding hoạt động. Một khách truy cập tải một trang từ tên miền do kẻ tấn công kiểm soát, với JavaScript của trang đó trỏ tới cổng 11434. Sau đó, DNS của kẻ tấn công phân giải lại cùng tên miền đó thành 127.0.0.1 hoặc một địa chỉ trên mạng cục bộ của nạn nhân. Vì chính sách same-origin của trình duyệt được gắn với tên máy chủ, và tên máy chủ không thay đổi, trình duyệt vẫn coi yêu cầu đó là same-origin. Ollama nhận được yêu cầu, bỏ qua kiểm tra Host vì liên kết của nó không phải loopback, và thấy Origin bằng Host — cả hai đều là tên miền của kẻ tấn công — nên lớp CORS cho phép. Tóm tắt của Cyera về kết quả là “quyền truy cập API đầy đủ, không cần xác thực”. Kẻ tấn công không cần kiểm soát gì ngoài tên miền của chính mình; không cần có chỗ đứng trên mạng hay hạ tầng DNS của nạn nhân.

Sandbox không bao phủ được điều này vì lỗ hổng nằm bên dưới nó. eSecurity Planet mô tả lỗi này nằm “trong lớp suy luận bên dưới các kiểm soát sandbox đó”, nên việc đưa agent vào sandbox vẫn khiến máy chủ mô hình mà nó giao tiếp không được bảo vệ. Cyera đưa ra quan điểm tương tự một cách rộng hơn: “Đưa agent vào sandbox là cần thiết nhưng chưa đủ.” Ghi chú nghiên cứu của Cloud Security Alliance về vụ việc, ngày 27 tháng 8 năm 2026, bổ sung rằng việc liên kết non-loopback làm sống lại nguy cơ phơi nhiễm đằng sau một vấn đề rebinding Ollama trước đó được theo dõi là CVE-2024-28224.

Điều này đáng nói rõ, vì đây là một con đường phơi lộ riêng biệt so với cuộc tấn công qua trình duyệt: việc liên kết với 0.0.0.0 cũng đặt API chưa được xác thực trực tiếp trên mạng cục bộ, nên bất kỳ máy chủ nào có thể định tuyến tới cổng 11434 đều truy cập được nó mà hoàn toàn không cần DNS rebinding.

Từ một mẫu dễ đọc đến một mẫu được viết lại

Khi JavaScript đã có thể truy cập API, việc do thám trở nên tầm thường. Cyera liệt kê những gì có thể truy cập được trong cuộc trình diễn: tên, kích thước, họ và lượng tử hóa của các mô hình đã cài đặt từ GET /api/tags, phiên bản Ollama chính xác từ GET /api/version, chi tiết mô hình, lời nhắc hệ thống, mẫu và giấy phép từ POST /api/show, cùng tên máy chủ và khóa công khai — hoặc tên người dùng đã đăng nhập — từ POST /api/me. Các điểm cuối phá hoại cũng có thể truy cập được: POST /api/pull để tải xuống các mô hình tùy ý và làm đầy đĩa, POST /api/push để đẩy mô hình lên ollama.com dưới tài khoản của nạn nhân, DELETE /api/delete để xóa các mô hình của nạn nhân, và POST /api/signout. Các điểm cuối suy luận, bao gồm tuyến /v1/chat/completions tương thích với OpenAI, sẽ chạy lời nhắc trên GPU của nạn nhân.

Cơ chế duy trì đến từ một trong những endpoint đó. Bài phân tích của Cyera giải thích rằng việc chèn một trường system ẩn thông qua POST /api/create không hiệu quả đối với OpenClaw, vì agent gửi system prompt của chính nó trong mảng messages và điều đó ghi đè lên trường system tích hợp sẵn của model. Con đường mạnh hơn là trường template mà /api/create cũng chấp nhận. Chat template của Ollama là một Go template kiểm soát cách các message được render thành văn bản thô trước khi suy luận, và "template được áp dụng tại thời điểm suy luận cho tất cả các message, bao gồm mọi system prompt mà client gửi". Trong phần trình diễn, kẻ tấn công đã lấy template gốc thông qua /api/show, ghép phần chèn vào đó trong khi vẫn giữ nguyên việc render tool, các token đặc biệt và định dạng role, rồi tải lại nó.

Điều quan trọng chính là những gì suy ra từ việc đặt nó ở vị trí đó. Theo Cyera, thay đổi này tồn tại qua mọi cuộc trò chuyện trong tương lai với mô hình, vẫn duy trì bất chấp các system prompt do client cung cấp, người dùng không thể thấy vì tên, kích thước, metadata và các khả năng của mô hình trông như không đổi, và ảnh hưởng đến mọi bên sử dụng mô hình — CLI, các client API và agent alike. Cách chính bài viết diễn đạt là “client không thể phát hiện hay ngăn chặn điều này” vì template là “một thuộc tính ở cấp mô hình mà những bên sử dụng API không thể thấy”. CSO Online, khi đưa tin về vụ việc vào ngày 26 tháng 8 năm 2026, trích dẫn Luz mô tả template nằm “ở một lớp bên dưới mọi thứ mà một guardrail hay người vận hành có thể thấy”, và lưu ý rằng thay đổi này tồn tại qua mọi phiên trong tương lai.

Những hậu quả mà Cyera liệt kê đối với một agent chạy trên template bị đầu độc là mang tính tiềm tàng, chứ không phải đã được quan sát thấy: chèn lỗ hổng vào mã được tạo ra, che giấu cảnh báo bảo mật, dẫn dắt các khuyến nghị hướng tới các gói, URL hoặc cấu hình do kẻ tấn công kiểm soát, và rò rỉ dữ liệu hội thoại hoặc tệp ở những nơi có quyền truy cập ra ngoài. Bài viết cũng thận trọng về những gì sandbox vẫn giới hạn — các hành động trên hệ thống tệp, mạng và tiến trình ở cấp máy chủ — đồng thời lưu ý rằng quyền truy cập được cấp của agent vào quản lý mã nguồn, CI/CD, API nội bộ, dịch vụ đám mây và máy chủ MCP chính là nguồn phơi nhiễm thực sự.

Cuộc biểu diễn đã cho thấy gì, và chưa cho thấy gì

Bản chứng minh khái niệm được thực hiện qua bốn bước, như Cyera mô tả. Các nhà nghiên cứu đã kết nối tới một sandbox NemoClaw và gửi một prompt; agent phản hồi bình thường. Sau đó, họ mở một trang web thực hiện DNS rebinding nhắm vào máy chủ Ollama cục bộ. Trang đó đã đọc phiên bản Ollama, các mô hình đã cài đặt, tên máy chủ và khóa công khai, rồi đầu độc mẫu mô hình bằng một chỉ dẫn ẩn. Việc gửi lại cùng một prompt đã trả về một phản hồi chứa dấu đánh dấu đã được chèn vào, mà không có bất kỳ thay đổi nào được thực hiện đối với chính agent trong sandbox.

Đó là dạng mạnh nhất của tuyên bố mà các nhà nghiên cứu đưa ra, và cũng là điểm bắt đầu giới hạn của hồ sơ. Đây là một minh chứng trong một cấu hình cụ thể — Ollama khởi chạy với OLLAMA_HOST=0.0.0.0:11434 — chứ không phải một khảo sát các hệ thống đã triển khai. Không có nạn nhân nào được nêu tên ở bất kỳ đâu trong các nguồn đưa tin được xem xét cho bài viết này: không trong bản tin của NVIDIA, không trong hồ sơ NVD, không trong bài viết của Cyera, không trong phóng sự của CSO Online hay eSecurity Planet. Không ai trong số họ công bố số lượng cài đặt NemoClaw bị phơi bày, và cũng không ai trong số họ báo cáo việc khai thác trong thực tế. Việc không có CISA KEV trong danh mục là một sự thật về danh mục đó, chứ không phải bằng chứng rằng không ai đã thử.

Bình luận độc lập đến từ Randolph Barr thuộc Cequence Security, được CSO Online trích dẫn: “DNS rebinding đã là một trò phụ trên trình duyệt trong hơn một thập kỷ”, ông nói, trong khi “việc hướng nó vào một máy chủ mô hình cục bộ chưa được xác thực chính là phần mới”. Đó là một mô tả công bằng về điểm mới ở đây — kỹ thuật trình duyệt là cũ còn lớp mục tiêu là mới — và nó cũng là lời nhắc rằng việc công bố này dựa trên minh chứng của một nhóm nghiên cứu. Không tìm thấy bản tái lập độc lập nào về kết quả đầu độc mẫu (template-poisoning) trong các bài đưa tin được xem xét cho bài viết này.

Bản sửa lỗi, và khoảng trống trên Windows

Commit mà NVIDIA chỉ định là bản sửa lỗi, f06796ff3, có tiêu đề "fix(security): bind Ollama to localhost with authenticated proxy". Khi đối chiếu với kho lưu trữ công khai, commit này thực hiện ba việc. Nó thay đổi đường dẫn suy luận cục bộ để Ollama được khởi động trên 127.0.0.1:11434 thay vì 0.0.0.0:11434. Nó thêm một reverse proxy có xác thực nhỏ, scripts/ollama-auth-proxy.js, lắng nghe trên 0.0.0.0:11435 và xác thực bearer token được tạo cho từng instance khi onboarding và được lưu trong thông tin xác thực nhà cung cấp OpenShell, để gateway chạy trong container vẫn có thể truy cập suy luận trong khi bất kỳ thứ gì không có token sẽ nhận 401; GET /api/tags được miễn trừ có chủ đích cho kiểm tra tình trạng container. Và nó cập nhật script thiết lập cùng các bài kiểm thử suy luận cục bộ sang cổng proxy. Thông điệp commit ghi nhận phiếu nội bộ là "PSIRT bug 6002780, CVSS 7.5 High", so với mức 8.1 mà NVIDIA sau đó công bố cho CVE.

Tình trạng khắc phục ngoài commit đó là điểm mà các nguồn khác nhau, và sự khác biệt này nên được báo cáo thay vì được giải quyết. CSO Online đưa tin rằng "lỗ hổng hiện đã được Nvidia vá cho các hệ thống không phải Windows". Ghi chú ngày 27 tháng 8 năm 2026 của Cloud Security Alliance cụ thể hơn: nó nói rằng macOS và Linux đã được sửa trong v0.0.35, rằng một bản dựng sau đó, v0.0.106, từ chối khởi động trừ khi Ollama được ràng buộc với loopback, và rằng "bản khắc phục của NVIDIA bao gồm macOS và Linux nhưng, tính đến thời điểm công bố, không mở rộng sang Windows hoặc WSL". Theo mô tả đó, kiểm tra khởi động "không chạm tới đường dẫn mã được dùng trên Windows và WSL", v0.0.34 "chỉ thêm cảnh báo thay vì thực thi ràng buộc loopback", và "các triển khai Windows và WSL vẫn bị phơi bày tại thời điểm công bố". Bản tin của chính NVIDIA chỉ ủng hộ một phần điều này: bảng sản phẩm bị ảnh hưởng của họ giới hạn CVE-2026-65105 trong phạm vi Linux, đưa ra một commit và phiên bản cập nhật duy nhất, và không liệt kê mục Windows nào là bị ảnh hưởng hoặc đã được sửa. NVIDIA không phản hồi về sự khác biệt đó trong bất kỳ tài liệu nào được xem xét ở đây.

Tuyên bố công khai của NVIDIA được đưa ra sau khi công bố trên CSO Online: "Chúng tôi đánh giá cao việc phát hiện và báo cáo của các nhà nghiên cứu", công ty cho biết, đồng thời nói thêm rằng "Nvidia đã phát hành bản cập nhật mà khách hàng có thể tải xuống và cài đặt".

Các biện pháp từ phía nhà vận hành được eSecurity Planet liệt kê là phần còn lại mang tính thực tiễn của hồ sơ:

Cập nhật NemoClaw và xác nhận mã đã triển khai chứa commit f06796ff3, thay vì tin vào chuỗi phiên bản, vì 0.0.25 xuất hiện ở cả cột bị ảnh hưởng và cột đã cập nhật.

• Giới hạn Ollama ở 127.0.0.1 trừ khi thực sự cần truy cập rộng hơn, điều này loại bỏ liên kết không phải loopback vốn khiến việc xác thực Host bị bỏ qua.

• Đặt một proxy có xác thực và các biện pháp kiểm soát tường lửa phía trước các dịch vụ suy luận thay vì dựa vào ranh giới mạng của chính ứng dụng.

• Giám sát các giao diện lắng nghe, mẫu mô hình, cài đặt mô hình và hoạt động API để phát hiện thay đổi bất thường, vì mẫu bị đầu độc không làm thay đổi tên, kích thước và siêu dữ liệu của mô hình.

• Giữ các bản sao đã được xác nhận là tốt của mẫu và cấu hình mô hình để phát hiện và khôi phục khi bị giả mạo, đồng thời kiểm thử các kế hoạch ứng phó sự cố đối với việc đầu độc mô hình và suy luận bị lộ — cách ly, kiểm tra tính toàn vẹn, luân chuyển và khôi phục thông tin xác thực.

• Áp dụng đặc quyền tối thiểu cho mọi thứ mà tác nhân có thể truy cập: kho lưu trữ, hệ thống CI/CD, API, tài nguyên đám mây và thông tin xác thực, vì sandbox giới hạn các hành động trên máy chủ nhưng không giới hạn các quyền mà tác nhân được cấp.

Những gì đã được xác lập, những gì được quy cho, và những gì chưa được biết

Đã xác lập.NVIDIA đã công bố bản tin 5872 vào ngày 25 tháng 8 năm 2026 với CVE-2026-65105 được xếp hạng 8.1 High, CWE-306, ảnh hưởng đến NemoClaw for Linux các phiên bản 0 đến 0.0.25 và được sửa tại commit f06796ff3. Bản ghi NVD xác nhận điểm số, vectơ và lớp điểm yếu một cách độc lập với chính trang của bản tin. Phần ghi nhận của NVIDIA nêu tên Markus Halvorsen và Elad Luz của Oasis Security. Commit công khai được nêu là bản sửa đổi thay đổi ràng buộc sang loopback và giới thiệu một proxy xác thực bằng token trên cổng 11435. CVE này không nằm trong danh mục Lỗ hổng đã bị khai thác đã biết của CISA.

Được quy nguồn. Việc chỉ một lần truy cập trang web đó là đủ để viết lại chat template của một mô hình, và việc thay đổi đó vẫn tồn tại qua các phiên sau cũng như các system prompt do phía client cung cấp, là phát hiện của Oasis Security, được báo cáo qua bài viết nghiên cứu của Cyera và được CSO Online cùng eSecurity Planet đăng tải. Việc macOS và Linux đã được khắc phục trong v0.0.35 và v0.0.106, trong khi Windows và WSL chỉ được cảnh báo trong v0.0.34, là cách trình bày của Cloud Security Alliance; phiên bản ngắn hơn của cùng nhận định đó trên CSO Online là bản vá bao phủ các hệ thống không phải Windows. Danh sách các hệ quả đối với agent ở hạ nguồn — mã dễ bị tổn thương, cảnh báo bị vô hiệu, các gói bị kẻ tấn công điều hướng, rò rỉ dữ liệu — là mô tả của Cyera về các tác động tiềm tàng, chứ không phải một kết quả đã được quan sát.

Chưa được xác lập.Không ai công bố có bao nhiêu triển khai NemoClaw chạy với bind 0.0.0.0 và bao nhiêu trong số đó có thể truy cập được từ một mạng lân cận. Không rõ liệu đường tấn công poisoning có được tính vào điểm 8.1 của NVIDIA hay không — vector đã công bố không mang tác động nào đến tính toàn vẹn, và NVIDIA không nói gì về điều đó theo bất kỳ hướng nào. Không có nạn nhân, không có báo cáo sự cố và không có khai thác ngoài đời thực nào được bất kỳ nguồn nào được xem xét ở đây ghi nhận, và không có nhóm nghiên cứu thứ hai nào công bố kết quả tái lập.

Bản thân bản ghi là một phát hiện nghiên cứu, không phải sự kiện triển khai: mục lưu trữ mang mức độ nghiêm trọng cao với xếp hạng độ tin cậy A, không ghi nhận tổn hại nào trong thế giới thực và đánh dấu nó là không gây tranh cãi. Điều đó khớp với những gì các nguồn cho thấy — một lỗ hổng được ghi chép đầy đủ, có khai thác đã được chứng minh và không có thương vong được báo cáo — và đó là lý do bài viết này tách phần chứng minh khỏi hậu quả của nó thay vì coi hai điều đó là một khẳng định duy nhất.