OpenClaw weist eine "Self-Attack"-Schwachstelle auf: Falsche Ausführung von Bash-Befehlen führt zum Schlüssel-Leak
BlockBeats Nachricht, am 5. März teilte das Web3-Sicherheitsunternehmen GoPlus mit, dass das AI-Entwicklungstool OpenClaw kürzlich einen „Selbstangriffs“-Sicherheitsvorfall erlebte. Während der Ausführung automatisierter Aufgaben konstruierte das System beim Aufruf von Shell-Befehlen zur Erstellung eines GitHub Issue einen fehlerhaften Bash-Befehl, was versehentlich eine Befehlsinjektion auslöste und zur Offenlegung zahlreicher sensibler Umgebungsvariablen führte.
Im Vorfall enthielt der von der AI generierte String das von Backticks umschlossene set, das von Bash als Befehlsersetzung interpretiert und automatisch ausgeführt wurde. Da Bash beim Ausführen von set ohne Parameter alle aktuellen Umgebungsvariablen ausgibt, wurden letztlich über 100 Zeilen sensibler Informationen (einschließlich Telegram-Schlüssel, Authentifizierungs-Token usw.) direkt in das GitHub Issue geschrieben und öffentlich gemacht.
GoPlus empfiehlt, in AI-automatisierten Entwicklungs- oder Testszenarien möglichst API-Aufrufe anstelle von direkter Shell-Befehlskombination zu verwenden, das Prinzip der minimalen Rechte zur Isolierung von Umgebungsvariablen zu befolgen, riskante Ausführungsmodi zu deaktivieren und bei kritischen Vorgängen einen manuellen Prüfmechanismus einzuführen.
Haftungsausschluss: Der Inhalt dieses Artikels gibt ausschließlich die Meinung des Autors wieder und repräsentiert nicht die Plattform in irgendeiner Form. Dieser Artikel ist nicht dazu gedacht, als Referenz für Investitionsentscheidungen zu dienen.
Das könnte Ihnen auch gefallen
Die US-Aktienmärkte bleiben heute geschlossen, der Handel mit Gold, Silber und Öl endet vorzeitig.
Die Anzahl der täglichen Bitcoin-Transaktionen erreichte gestern den vierthöchsten Wert in der Geschichte.
Die Rendite der 10-jährigen US-Staatsanleihen nähert sich der 5,5%-Schwelle! Société Générale warnt: Aktienbewertungsunterstützung fällt weg, US-Aktien könnten heftige Erschütterungen erleben
Die Société Générale Frankreich weist darauf hin, dass die Gewinnprognosen weltweit in diesem Jahr deutlich nach oben korrigiert wurden; selbst bei steigenden Renditen ist die Aktienrisikoprämie nicht eingebrochen.
Krypto-Preise
Mehr
