NEAR AI 官方刚发了一份安全事件报告。开源推理引擎 SGLang 出现了远程代码执行漏洞，攻击者拿到一台推理服务器的执行权限，随后进入了已经停用的 Private Chat 背后的内部系统。

大约 100 名用户的账户信息被下载，包括邮箱、姓名，部分账户还有套餐和余额。另外有 18 个没有跑在机密计算环境里的旧版 Agent，聊天记录、设置和日志也被访问了。还有两名 Cloud 客户的 API 密钥出现在日志里，官方说已经作废。11 月 8 日当天，这台被攻入的服务器上正在处理的请求，包括机密模式的，也可能被看到。不过官方写，目前没有发现已存储的 Private Chat 对话或上传文件被访问。

漏洞已经在全部推理服务器上修复，相关凭证也换过了，Cloud 服务现已恢复。受影响用户和这 18 个 Agent 的所有者，官方说已经单独通知。他们也提醒：碰到声称跟你账户或余额有关的陌生消息，先别急着点。
#NEAR #AI #安全