NemoClaw CVE-2026-65105：一次浏览器访问改写了模型的聊天模板

2026年8月25日，NVIDIA 发布了安全公告 5872，并将 NVIDIA NemoClaw（一款在 OpenShell 沙箱中运行 OpenClaw 智能体的 Linux 工具）中的一个漏洞评为高危，CVSS 基础评分为 8.1。CVE-2026-65105 是一个缺少身份验证的漏洞：NemoClaw 会在每个网络接口上启动 Ollama 推理服务器，而 Ollama 的 API 本身没有身份验证。Oasis Security 的研究人员（NVIDIA 在致谢中按姓名列出，现正被 Cyera 收购）构建了一个演示：只需访问一次由攻击者控制的网页，就足以从浏览器内部访问该服务器，并重写模型的聊天模板——这一修改在后续对话中依然存在，并且在智能体提供自己的系统提示后仍然存续。目前尚无在野利用的记录。完整条目及其严重性和置信度评级位于Orca AI Incident Archive中，与同月的邻近事件并列。

NVIDIA 发布了什么

该公告标题为“安全公告：NVIDIA NemoClaw 与 OpenShell - 2026 年 8 月”，编号为 5872，其修订历史仅记录了一条条目：版本 1.0.0，日期为 2026-08-25。这是一份汇总公告，而非针对单个 CVE 的公告——其中的受影响产品表列出了两个产品中的 18 个 CVE，编号从 CVE-2026-65081 到 CVE-2026-65105。该批次中影响最大的条目是 CVE-2026-65093，这是 NVIDIA OpenShell for Linux 中的沙箱逃逸漏洞，评级为 9.9 严重。

针对 CVE-2026-65105，公告称该漏洞“出现在其推理服务器设置中，远程攻击者可能无需身份认证即可访问推理服务”，并称成功利用“可能导致信息泄露和拒绝服务”。公布的向量为 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H——相邻网络、低复杂度、无需权限、无需用户交互、高机密性影响、高可用性影响——弱点类别为 CWE-306，“关键功能缺少身份认证”。

NVIDIA 的受影响产品表将 Linux 上 NemoClaw 的受影响版本列为“0 至 0.0.25”，并将更新后的版本列为“f06796ff3；0.0.25”——一个提交哈希与受影响版本列中出现的相同版本号配对。eSecurity Planet 于 2026 年 8 月 27 日报道该漏洞时，明确指出了这一重叠，并建议管理员“核实已部署的代码包含修复提交，而不是仅依赖版本号”。

致谢部分将{{1}}“CVE-2026-65105：Oasis Security 的 Markus Halvorsen、Elad Luz”{{/1}}列为致谢对象。该 CVE 的 NVD 记录发布于{{2}}2026 年 8 月 25 日 21:17 UTC{{/2}}，最后修改于{{3}}2026 年 9 月 1 日{{/3}}；其唯一一项 CVSS v3.1 评估为{{4}}NVIDIA 的 8.1 评分{{/4}}，且该 CVE 未出现在{{5}}CISA 的已知被利用漏洞目录{{/5}}中。

NVIDIA 自己的条目中有一个细节值得点名指出，而不是加以粉饰。该向量完全没有完整性分量——I:N，完整性影响为无——而单行描述只提到了信息泄露和拒绝服务。研究人员在下文讨论的核心主张是，该模型的聊天模板曾被修改，并且一直保持在被修改后的状态。对向量的这种解读是我们的，而非 NVIDIA 的：该公司没有发布任何声明，说明在评分时是否考虑过模板重写路径。

使本地服务器可访问的配置

NemoClaw 在 OpenShell 沙箱中部署 OpenClaw 智能体，并支持将 Ollama 作为本地推理后端。这一配置问题正是该部署方式的副作用。正如 Cyera 由 Elad Luz 和 Ofek Itach 撰写的研究报告所解释的，OpenShell 运行在 Docker 中，因此位于默认回环地址上的 Ollama 服务器从容器内部无法访问。为此，NemoClaw 启动 Ollama 时设置 OLLAMA_HOST=0.0.0.0:11434，这会把端口 11434 绑定到所有网络接口，而不只是主机的回环接口。同一份报告还指出，尽管实际绑定的范围要宽得多，安装程序却显示“Using Ollama on localhost:11434”。

Ollama 的 API 没有身份验证。它面向浏览器的防御措施有两道：一是 CORS 中间件，它将 Origin 等于 Host 的请求视为同源，并允许不带 Origin 头的请求通过；二是 Host 头校验步骤，通常只接受本地主机名。第二道防御正是在 NemoClaw 的配置下消失的那一道。Cyera 的叙述明确指出：“当 Ollama 绑定到非回环地址（例如 0.0.0.0）时，Host 头校验会被完全跳过”——代码会检查绑定地址是否为回环地址，否则就绕过该校验。

正是这种组合使 DNS 重绑定得以奏效。访问者从攻击者控制的域加载一个页面，该页面的 JavaScript 会访问端口 11434。随后，攻击者的 DNS 将同一域名重新解析到 127.0.0.1 或受害者本地网络上的某个地址。由于浏览器的同源策略以主机名为准，而主机名并未改变，浏览器会继续将该请求视为同源。Ollama 收到该请求，由于其绑定地址并非回环地址而跳过 Host 校验，并发现 Origin 与 Host 相同——两者都是攻击者的域——因此 CORS 层会允许该请求。Cyera 对结果的总结是“完整的、未经身份验证的 API 访问”。攻击者只需控制自己的域即可；无需在受害者的网络或 DNS 基础设施中取得任何立足点。

沙箱未能覆盖这一点，因为该缺陷位于其下层。eSecurity Planet 将该漏洞描述为“位于这些沙箱控制之下的推理层中”，因此对智能体进行沙箱隔离后，它所通信的模型服务器仍处于未受保护状态。Cyera 更宽泛地表达了同样的观点：“对智能体进行沙箱隔离是必要的，但还不够。”云安全联盟于 2026 年 8 月 27 日发布的关于该案例的研究简报补充称，非回环绑定使此前被追踪为 CVE-2024-28224 的 Ollama 重绑定问题所涉及的暴露重新出现。

值得明确指出，因为这和浏览器攻击是另一条独立的暴露路径：绑定到 0.0.0.0 还会把未认证的 API 直接暴露在本地网络上，因此任何能够路由到端口 11434 的主机都无需 DNS 重绑定即可访问它。

从可读模板到重写模板

一旦 JavaScript 能够访问 API，侦察就变得稀松平常。Cyera 列出了演示中可访问的内容：来自 GET /api/tags 的已安装模型名称、大小、系列和量化；来自 GET /api/version 的确切 Ollama 版本；来自 POST /api/show 的模型详细信息、系统提示词、模板和许可证；以及来自 POST /api/me 的主机名和公钥——或已登录用户名。这些破坏性端点也可访问：POST /api/pull，用于下载任意模型并填满磁盘；POST /api/push，用于在受害者账户下将模型推送到 ollama.com；DELETE /api/delete，用于删除受害者的模型；以及 POST /api/signout。推理端点（包括兼容 OpenAI 的 /v1/chat/completions 路由）会在受害者的 GPU 上运行提示词。

这种持久化来自其中一个端点。Cyera 的分析文章解释说，通过 POST /api/create 注入隐藏的系统字段对 OpenClaw 无效，因为该智能体会在 messages 数组中发送自己的系统提示，从而覆盖模型内置的系统字段。更强的途径是 /api/create 同样接受的 template 字段。Ollama 聊天模板是一种 Go 模板，用于控制推理前如何将消息渲染为原始文本，并且“模板会在推理时应用于所有消息，包括客户端发送的任何系统提示”。在演示中，攻击者通过 /api/show 获取原始模板，将注入内容拼接到其中，同时保持工具渲染、特殊 token 和角色格式不变，然后重新上传。

真正重要的是这一放置位置所带来的后果。据 Cyera 称，这一修改会在与该模型的所有后续对话中持续存在，即使客户端提供系统提示词也依然保留；由于模型的名称、规模、元数据和能力看起来均未改变，用户无法察觉这一修改；它还会影响该模型的所有使用方——无论是 CLI、API 客户端还是智能体，皆不例外。该文章自身的说法是，“客户端无法检测或阻止这一点”，因为该模板是“一种对 API 使用方不可见的模型级属性”。CSO Online 在 2026 年 8 月 26 日报道此案时，引用 Luz 的话将模板描述为处在“任何护栏或操作员所能看到的内容之下一层”，并指出这一更改会在未来的每一次会话中持续存在。

Cyera 将运行在受污染模板上的智能体所导致的后果列为潜在后果，而非已观察到的后果：向生成的代码中植入漏洞、压制安全警告、将推荐引导至攻击者控制的软件包、URL 或配置，以及在存在出站访问权限时窃取对话或文件数据。该报告还谨慎说明了沙箱仍能约束哪些范围——主机级文件系统、网络和进程操作——同时指出，智能体对源代码管理、CI/CD、内部 API、云服务和 MCP 服务器的授权访问才是真正的风险暴露所在。

这次演示展示了什么，以及没有展示什么

这个概念验证按 Cyera 的描述分四步进行。研究人员连接到 NemoClaw 沙箱并发送了一条提示词；智能体正常作出响应。随后他们打开一个网页，该网页对本地 Ollama 服务器实施了 DNS 重绑定攻击。这个页面读取了 Ollama 版本、已安装的模型、主机名和公钥，并用一条隐藏指令污染了模型模板。再次发送同一条提示词时，返回的响应中包含了注入的标记，而沙箱内的智能体本身没有任何改动。

这是研究人员所提主张中最强的一种形式，也正是记录局限开始之处。这是在特定配置下的一项演示——Ollama 以 OLLAMA_HOST=0.0.0.0:11434 启动——而不是对已部署系统的调查。本文所审阅的报道中，没有任何地方点名受害者：NVIDIA 的公告中没有，NVD 记录中没有，Cyera 的文章中没有，CSO Online 或 eSecurity Planet 的报道中也没有。它们中没有任何一家公布过暴露的 NemoClaw 安装数量，也没有一家报告过在野利用。CISA KEV 清单中未收录这一事实，是关于该目录本身的事实，而不是无人尝试过的证明。

独立评论来自 Cequence Security 的 Randolph Barr，由 CSO Online 引用：“DNS 重绑定作为浏览器上的派对把戏已经存在十多年了”，他说，而“将其指向一个未经身份验证的本地模型服务器才是新的部分”。这是对本例新颖性的一种公允描述——浏览器技术是旧的，目标类别是新的——它也提醒人们，该披露依赖于一个研究团队的演示。在为本文审查的报道中，未发现对模板投毒结果有独立复现。

修复方案，以及 Windows 的缺口

NVIDIA 称为修复的提交 f06796ff3，标题为“fix(security): bind Ollama to localhost with authenticated proxy”。对照公开仓库来看，它做了三件事。它将本地推理路径改为在 127.0.0.1:11434 上启动 Ollama，而不是 0.0.0.0:11434。它新增了一个小型的带认证反向代理 scripts/ollama-auth-proxy.js，该代理监听 0.0.0.0:11435，并验证在接入时为每个实例生成、存储在 OpenShell 提供商凭据中的 bearer 令牌，因此容器化网关仍能访问推理，而任何没有该令牌的请求都会收到 401；GET /api/tags 被有意豁免，用于容器健康检查。它还更新了安装脚本和本地推理测试，使其使用代理端口。提交信息将内部工单记为“PSIRT bug 6002780, CVSS 7.5 High”，而 NVIDIA 后来针对该 CVE 公布的是 8.1。

在该提交之后的修复状态正是各来源出现分歧之处，而分歧应当被报告，而不是被消解。CSO Online 报道称，“该漏洞现已由 Nvidia 针对非 Windows 系统完成修补”。云安全联盟（Cloud Security Alliance）2026 年 8 月 27 日的说明更为具体：它称 macOS 和 Linux 已在 v0.0.35 中得到修正，而后来的构建版本 v0.0.106 在 Ollama 未绑定回环地址时会拒绝启动，并且“NVIDIA 的修复覆盖 macOS 和 Linux，但截至发布之时并未延伸至 Windows 或 WSL”。在该记述中，启动检查“无法触及 Windows 和 WSL 上所使用的代码路径”，v0.0.34“仅添加了警告，而未强制执行回环绑定”，并且“Windows 和 WSL 部署在披露之时仍处于暴露状态”。NVIDIA 自己的公告仅支持其中一部分：其受影响产品表将 CVE-2026-65105 的范围限定为 Linux，给出单一更新提交和版本，且未列出任何 Windows 条目——既未列为受影响，也未列为已修复。NVIDIA 未就本文所审阅的任何文件中的这一差异作出回应。

NVIDIA的公开声明是在CSO Online发表相关报道之后作出的。该公司表示：“{{1}}我们感谢研究人员的发现与报告{{/1}}”，并补充说：“{{2}}Nvidia已发布一项更新，客户可以下载并安装{{/2}}”。

eSecurity Planet 列出的运营方一侧措施，是这份记录中具有实际意义的部分：

• 更新 NemoClaw，并确认已部署的代码包含提交 f06796ff3，而不是依赖版本字符串，因为 0.0.25 会同时出现在“受影响”列和“已更新”列中。

• 除非明确需要更广泛的访问权限，否则将 Ollama 限制为仅监听 127.0.0.1，这样即可移除导致跳过 Host 验证的非环回绑定。

• 在推理服务前部署经过身份验证的代理和防火墙控制，而不是依赖应用程序自身的网络边界。

• 监控监听接口、模型模板、模型设置和 API 活动，以发现意外变更，因为被投毒的模板不会改动模型的名称、大小和元数据。

• 保留模型模板和设置的已知良好副本，用于篡改检测和恢复，并测试针对模型投毒和推理暴露的事件响应计划——隔离、完整性检查、凭据轮换和恢复。

• 对智能体可访问的一切应用最小权限原则：代码仓库、CI/CD 系统、API、云资源和凭据，因为沙箱限制的是主机操作，而不是授予该智能体的权限。

什么是已确立的、什么是被归因的，以及什么是未知的

已确认。NVIDIA 于 2026 年 8 月 25 日发布了公告 5872，其中 CVE-2026-65105 被评为 8.1 高危，CWE-306，影响 Linux 版 NemoClaw 0 至 0.0.25 版本，并已在提交 f06796ff3 中修复。NVD 记录独立于公告自身页面佐证了该评分、向量和弱点类别。NVIDIA 的致谢中提到了 Oasis Security 的 Markus Halvorsen 和 Elad Luz。被列为修复的公开提交将绑定地址改为回环地址，并在端口 11435 上引入了令牌认证代理。该 CVE 未列入 CISA 的已知被利用漏洞目录。

已归因。一次网页访问就足以重写模型的聊天模板，而且这一更改会在后续会话和客户端提供的系统提示中继续存在，这是 Oasis Security 的发现，经 Cyera 的研究报告披露，并由 CSO Online 和 eSecurity Planet 报道。macOS 和 Linux 已在 v0.0.35 和 v0.0.106 中修复，而 Windows 和 WSL 在 v0.0.34 中仅收到警告，这是 Cloud Security Alliance 的说法；CSO Online 对同一说法的更简短表述是，该补丁覆盖非 Windows 系统。下游智能体的后果清单——有漏洞的代码、被抑制的警告、被攻击者操纵的软件包、数据外泄——是 Cyera 对潜在影响的描述，而非实际观察到的结果。

尚未确认。没有人公布过有多少 NemoClaw 部署使用了 0.0.0.0 绑定运行，也没有人公布过其中有多少可从相邻网络访问。投毒路径是否已被计入 NVIDIA 的 8.1 评分之中尚不可知——已公布的向量不包含完整性影响，而 NVIDIA 对此也未作任何表态。本文所审查的任何来源均未记录到受害者、事件报告或野外利用，也没有第二个研究团队发表复现结果。

记录本身是一项研究发现，而不是部署事件：档案条目将严重性标为高，置信度等级为 A，未记录任何现实世界危害，并将其标记为无争议。这与来源显示的情况相符——一个记录充分的漏洞，带有已演示的利用方式，且没有伤亡报告——这也正是本文把演示与其后果区分开来、而不是将二者当作同一主张的原因。