NemoClaw CVE-2026-65105：一次瀏覽器造訪就改寫了模型的聊天範本

NVIDIA 於 2026 年 8 月 25 日發布安全公告 5872，並將 NVIDIA NemoClaw 中的一項漏洞評為高風險，CVSS 基本分數為 8.1；NemoClaw 是在 OpenShell 沙箱內執行 OpenClaw 代理程式的 Linux 工具。CVE-2026-65105 是缺少身分驗證的漏洞：NemoClaw 在每個網路介面上啟動 Ollama 推論伺服器，而 Ollama 的 API 本身沒有身分驗證。Oasis Security 研究人員（NVIDIA 在致謝名單中具名感謝，該公司目前正被 Cyera 收購）建立了一個示範：只要造訪一次由攻擊者控制的網頁，就足以從瀏覽器內部觸及該伺服器，並改寫模型的聊天範本——這項修改在後續對話結束後仍持續存在，且即使代理程式提供自己的系統提示也依然存留。尚未記錄到任何實際野外利用事件。完整條目（包含其嚴重性與信心評級）位於Orca AI Incident Archive，與同月鄰近事件並列。

NVIDIA 發佈了什麼

此公告標題為「安全性公告：NVIDIA NemoClaw 與 OpenShell - 2026 年 8 月」，編號 5872，其修訂記錄僅有一筆：版本 1.0.0，日期為 2026-08-25。這是彙整公告，並非單一 CVE 的資安公告——其中的受影響產品表列出兩個產品共 18 個 CVE，從 CVE-2026-65081 到 CVE-2026-65105。這批項目中最重大的項目是 CVE-2026-65093，這是 NVIDIA OpenShell for Linux 中的沙箱逃逸漏洞，評分為 9.9 嚴重。

針對 CVE-2026-65105，公告指出該漏洞「在其推論伺服器設定中，遠端攻擊者可能未經身分驗證即存取推論服務」，且成功利用「可能導致資訊揭露與阻斷服務」。公布的向量為 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H —— 相鄰網路、低複雜度、無權限、無需使用者互動、高機密性影響、高可用性影響 —— 而弱點類別為 CWE-306，「關鍵功能缺少身分驗證」。

NVIDIA 的受影響產品表將 Linux 上 NemoClaw 的受影響版本列為「0 至 0.0.25」，並將更新後版本列為「f06796ff3；0.0.25」——這是一組提交雜湊值（commit hash），搭配與受影響欄位中相同的版本號。eSecurity Planet 於 2026 年 8 月 27 日報導此漏洞時，特別指出這樣的重疊情形，並建議系統管理員「確認已部署的程式碼包含修復提交，而非僅依賴版本號」。

致謝章節列明「CVE-2026-65105：Markus Halvorsen、Oasis Security 的 Elad Luz」。該 CVE 的 NVD 記錄於 2026 年 8 月 25 日 21:17 UTC 發布，並於 2026 年 9 月 1 日最後修改；其唯一一項 CVSS v3.1 評估為 NVIDIA 的 8.1 分，且該 CVE 未收錄於 CISA 的「Known Exploited Vulnerabilities」目錄。

NVIDIA 自己條目中的一個細節值得明確指出，而不是輕描淡寫。該向量完全沒有完整性元件——I:N，完整性影響為無——而一行描述只提到資訊揭露與阻斷服務。研究人員的核心主張（下文將討論）是，該模型的聊天模板遭到修改，且一直保持被修改的狀態。對該向量的這種解讀是我們的，不是 NVIDIA 的：該公司並未發表任何聲明，說明在評分時是否考慮了模板改寫路徑。

讓本機伺服器得以對外連線的設定

NemoClaw 會在 OpenShell 沙箱內部署 OpenClaw 代理，並支援以 Ollama 作為本機推論後端。這個配置問題正是該安排帶來的副作用。正如 Cyera 由 Elad Luz 與 Ofek Itach 撰寫的研究報告所說明，OpenShell 在 Docker 中運行，因此位於預設迴路位址的 Ollama 伺服器無法從容器內部連線。於是 NemoClaw 以 OLLAMA_HOST=0.0.0.0:11434 啟動 Ollama，這會讓連接埠 11434 綁定到所有介面，而不只是主機的迴路位址。同一份報告也指出，安裝程式會顯示「Using Ollama on localhost:11434」，儘管實際綁定的範圍遠比這更廣。

Ollama 的 API 沒有身分驗證。它面向瀏覽器的防禦機制有兩道：一是 CORS 中介層，會將 Origin 等於其 Host 的請求視為同源，並允許沒有 Origin 標頭的請求通過；二是 Host 標頭驗證步驟，通常只接受本機主機名稱。在 NemoClaw 的設定下，消失的正是第二道防禦。Cyera 的說法明確指出：「當 Ollama 綁定到非迴環位址（例如 0.0.0.0）時，Host 標頭驗證會被完全跳過」——程式碼會檢查綁定位址是否為迴環位址，若不是就繞過該檢查。

這種組合正是 DNS 重新綁定得以運作的原因。訪客從攻擊者控制的網域載入頁面，而頁面的 JavaScript 會向連接埠 11434 發出請求。攻擊者的 DNS 接著會把同一個網域重新解析到 127.0.0.1，或解析到受害者本機網路上的某個位址。由於瀏覽器的同源政策是以主機名稱為依據，而主機名稱並未改變，瀏覽器便持續將該請求視為同源。Ollama 收到請求後，因其繫結並非回送位址而略過 Host 驗證，並看到 Origin 等於 Host——兩者都是攻擊者的網域——因此 CORS 層允許該請求。Cyera 對此結果的總結是「完整且未經身分驗證的 API 存取」。攻擊者只需控制自己的網域，無需在受害者的網路或 DNS 基礎設施中取得立足點。

沙箱並未涵蓋此問題，因為該缺陷位於其下層。eSecurity Planet 將該漏洞描述為「位於那些沙箱控制措施之下的推論層」，因此對代理程式進行沙箱化後，它所通訊的模型伺服器仍處於不受保護的狀態。Cyera 更廣泛地提出相同論點：「對代理程式進行沙箱化是必要的，但並不足夠。」雲端安全聯盟（Cloud Security Alliance）於 2026 年 8 月 27 日針對此案例發布的研究筆記補充指出，非回環綁定會使先前以 CVE-2024-28224 追蹤的 Ollama 重新綁定問題背後的曝險風險再度出現。

值得直說，因為這是與瀏覽器攻擊不同的另一條暴露路徑：綁定到 0.0.0.0 也會讓未經身分驗證的 API 直接暴露在區域網路上，因此任何能路由到 11434 埠的主機，完全不需要 DNS 重新綁定就能存取它。

從可讀的範本到改寫後的範本

一旦 JavaScript 能觸及 API，偵察就顯得稀鬆平常。Cyera 在示範中列出可觸及的項目：從 GET /api/tags 取得已安裝的模型名稱、大小、系列與量化方式，從 GET /api/version 取得確切的 Ollama 版本，從 POST /api/show 取得模型詳細資料、系統提示、範本與授權條款，以及從 POST /api/me 取得主機名稱與公開金鑰——或已登入的使用者名稱。破壞性端點也可觸及：POST /api/pull 可下載任意模型並塞滿磁碟，POST /api/push 可在受害者的帳號下將模型推送至 ollama.com，DELETE /api/delete 可移除受害者的模型，還有 POST /api/signout。推論端點，包括相容於 OpenAI 的 /v1/chat/completions 路由，會在受害者的 GPU 上執行提示。

持久化是透過其中一個端點達成的。Cyera 的文章說明，透過 POST /api/create 注入隱藏的系統欄位對 OpenClaw 無效，因為代理程式會在 messages 陣列中送出自身的系統提示，而這會覆寫模型內建的系統欄位。更強的路徑是 /api/create 同样接受的範本欄位。Ollama 聊天範本是一種 Go 模板，用來控制訊息在推論前如何被渲染成原始文字，而且「範本會在推論時套用到所有訊息，包括用戶端送出的任何系統提示」。在示範中，攻擊者透過 /api/show 取得原始範本，將注入內容夾帶進去，同時保持工具渲染、特殊 token 與角色格式完整無損，然後重新上傳。

因此，真正關鍵的是這種植入位置所帶來的後果。根據 Cyera 的說法，這項修改會持續存在於之後與該模型的所有對話中、能在用戶端提供的系統提示下存續、且對使用者不可見，因為模型的名稱、大小、中繼資料與能力看起來都沒有改變，並且會影響該模型的所有使用者——無論是 CLI、API 用戶端還是代理皆然。該報告本身的說法是「用戶端無法偵測或阻止此情況」，因為該範本是一項「對 API 使用者不可見的模型層級屬性」。CSO Online 於 2026 年 8 月 26 日報導此案例時，引述 Luz 將該範本描述為位於「任何防護機制或操作人員所能看見之範圍再往下一層」，並指出這項變更會在之後的每個工作階段中存續。

Cyera 列出代理程式在遭投毒的範本上執行時可能造成的後果，但這些後果屬於潛在風險，並非實際觀察到的情況：在產生的程式碼中插入弱點、抑制安全警告、將建議引導至攻擊者控制的套件、URL 或設定，以及在具備對外存取的情況下外洩對話或檔案資料。這份報告也謹慎說明沙箱仍能限制哪些範圍——主機層級的檔案系統、網路與處理程序動作——同時指出，代理程式獲授權存取原始碼控管、CI/CD、內部 API、雲端服務與 MCP 伺服器，才是真正暴露風險所在。

這場示威顯示了什麼，又沒有顯示什麼

根據 Cyera 的描述，這項概念驗證分四個步驟進行。研究人員連線到 NemoClaw 沙箱並送出提示詞；代理正常回應。他們接著開啟一個網頁，該網頁對本機 Ollama 伺服器執行 DNS 重綁定。該頁面讀取了 Ollama 版本、已安裝的模型、主機名稱與公開金鑰，並以隱藏指令汙染模型範本。重新送出相同的提示詞後，傳回的回應包含注入的標記，而沙箱化代理本身並未有任何變更。

這是研究人員所提出主張的最強形式，也是紀錄的局限開始之處。這是在特定設定下的示範——Ollama 以 OLLAMA_HOST=0.0.0.0:11434 啟動——而非對已部署系統的調查。為本文檢視的報導中，任何地方都沒有指名受害者：NVIDIA 的公報沒有，NVD 的紀錄沒有，Cyera 的文章沒有，CSO Online 或 eSecurity Planet 的報導也沒有。他們之中沒有人公布暴露的 NemoClaw 安裝數量，也沒有任何一方報導在實際環境中遭到利用。CISA KEV 清單中沒有列入，這是關於該目錄的事實，而非無人嘗試過的證明。

獨立評論來自 Cequence Security 的 Randolph Barr，並由 CSO Online 引述：「DNS 重新綁定（DNS rebinding）十多年來一直是瀏覽器的花招」，他說，而「把它指向未經身分驗證的本機模型伺服器，才是新的部分」。這對此地的新穎性而言是公允的描述——瀏覽器技術是舊的，目標類別是新的——它也提醒我們，這項披露僅建立在一個研究團隊的示範上。在本文所審閱的報導中，並未發現對範本投毒結果的獨立複製驗證。

修復方案，以及 Windows 的落差

NVIDIA 指名為修正的提交 f06796ff3，標題為「fix(security): bind Ollama to localhost with authenticated proxy」。對照公開儲存庫來看，它做了三件事。它變更本機推論路徑，讓 Ollama 啟動於 127.0.0.1:11434，而非 0.0.0.0:11434。它新增一個小型具驗證的逆向代理 scripts/ollama-auth-proxy.js，該代理監聽 0.0.0.0:11435，並驗證一個在初始設定時依每個執行個體產生、且儲存在 OpenShell 供應商憑證中的 Bearer 權杖，因此容器化閘道仍可存取推論，而任何沒有權杖的請求都會收到 401；GET /api/tags 則刻意豁免，用於容器健康檢查。它還將設定指令碼與本機推論測試更新為代理連接埠。提交訊息將內部工單記錄為「PSIRT bug 6002780, CVSS 7.5 High」，相較於 NVIDIA 後來針對該 CVE 公布的 8.1 分。

在該提交之後的修復狀態，正是各來源出現分歧之處，而這種分歧應予呈報，而非逕自化解。CSO Online 報導指出，「Nvidia 現已針對非 Windows 系統修補該漏洞」。雲端安全聯盟（Cloud Security Alliance）於 2026 年 8 月 27 日的說明更為具體：該說明指出 macOS 與 Linux 已於 v0.0.35 中修正，較晚的組建 v0.0.106 除非 Ollama 僅綁定於回送位址，否則拒絕啟動，並指出「NVIDIA 的修復涵蓋 macOS 與 Linux，但截至發表之時，並未擴及 Windows 或 WSL」。依該說明所述，啟動檢查「並未觸及 Windows 與 WSL 所使用的程式碼路徑」，v0.0.34「僅新增警告，而未強制執行回送綁定」，且「在揭露之時，Windows 與 WSL 部署仍處於暴露狀態」。NVIDIA 自家的公告僅支持其中一部分：其受影響產品表將 CVE-2026-65105 的範圍限定於 Linux，僅列出單一更新後的提交與版本，且未列出任何 Windows 項目——無論是列為受影響或已修復。在本文所檢視的任何文件中，NVIDIA 均未對該項出入作出回應。

NVIDIA 的公開聲明是在 CSO Online 刊出後發布：「我們感謝研究人員的發現與報告」，該公司表示，並補充說「Nvidia 已發布更新，客戶可下載並安裝」。

eSecurity Planet 所列出的營運方措施，是這份紀錄中實際剩下的部分：

• 更新 NemoClaw，並確認部署的程式碼包含提交 f06796ff3，而非信任版本字串，因為 0.0.25 同時出現在受影響與已更新欄位中。

• 除非明確需要更廣泛的存取，否則將 Ollama 限制在 127.0.0.1；這會移除導致 Host 驗證被略過的非 loopback 綁定。

在推論服務前端部署具備身分驗證的代理與防火牆控管，而非依賴應用程式本身的網路邊界。

• 監控監聽介面、模型範本、模型設定與 API 活動是否有非預期變更，因為遭汙染的範本不會更動模型的名稱、大小及中繼資料。

• 保留模型範本與設定的已知良好副本，以供竄改偵測與復原使用，並測試針對模型投毒與推論服務暴露的事件應變計畫——隔離、完整性檢查、憑證輪替與還原。

• 對代理可觸及的一切套用最小權限原則：儲存庫、CI/CD 系統、API、雲端資源與憑證，因為沙箱限制的是主機動作，而非賦予代理的權限。

哪些是已確立的、哪些是歸因的，以及哪些是未知的

已確認。NVIDIA 於 2026 年 8 月 25 日發布第 5872 號公告，其中 CVE-2026-65105 評分為 8.1 高風險，CWE-306，影響 Linux 版 NemoClaw 0 至 0.0.25 版，並已於提交 f06796ff3 中修復。NVD 記錄獨立於該公告自身的頁面，佐證了此評分、向量與弱點類別。NVIDIA 的致謝名單列出 Oasis Security 的 Markus Halvorsen 與 Elad Luz。被指為修復的公開提交將綁定改為回送位址（loopback），並在連接埠 11435 上引入需權杖驗證的代理。該 CVE 未列入 CISA 的「已知遭利用漏洞」目錄。

已註明出處。只要造訪一次網頁，就足以改寫模型的聊天範本，而且這項變更會在後續工作階段以及用戶端提供的系統提示中持續存在，這是 Oasis Security 的發現，經由 Cyera 的研究報告披露，並由 CSO Online 與 eSecurity Planet 報導。macOS 與 Linux 已於 v0.0.35 和 v0.0.106 中修復，而 Windows 與 WSL 在 v0.0.34 中僅受到警告，這是 Cloud Security Alliance 的說法；CSO Online 對同一主張的較簡短版本則是該修補程式涵蓋非 Windows 系統。下游代理後果的清單——易受攻擊的程式碼、被抑制的警告、受攻擊者操控的套件、資料外洩——是 Cyera 對潛在影響的描述，而非實際觀察到的結果。

尚未確立。有多少 NemoClaw 部署是以 0.0.0.0 綁定執行、其中又有多少可從相鄰網路觸及，迄今沒有任何單位公布過。投毒路徑是否已被計入 NVIDIA 的 8.1 評分，目前不得而知——已公布的向量並未包含完整性影響，而 NVIDIA 對此也未作任何表態。本文所檢視的任何來源，都未曾記錄到受害者、事件報告或實際環境中的利用，也沒有第二個研究團隊發表重現結果。

這筆記錄本身是一項研究發現，而非部署事件：檔案條目列為高嚴重性、信心評等為 A，記錄顯示未造成現實世界的危害，並標示為無爭議。這與來源所示相符——一個有充分記載的漏洞，具有已展示的漏洞利用，且未回報任何傷亡——這也是本文將演示與其後果分開，而非將兩者視為同一主張的原因。