OpenClaw-da "özünə hücum" boşluğu aşkarlandı: Bash əmri səhv icra edildiyi üçün açar sızması baş verdi

BlockBeats xəbər verir ki, 5 mart tarixində Web3 təhlükəsizlik şirkəti GoPlus bildirib ki, AI inkişaf aləti OpenClaw yaxınlarda "özünə hücum" təhlükəsizlik hadisəsi ilə üzləşib. Avtomatlaşdırılmış tapşırıqları yerinə yetirərkən, sistem Shell əmri vasitəsilə GitHub Issue yaratmaq üçün səhv Bash əmri qurub və təsadüfən komanda inyeksiyasını işə salıb, nəticədə çoxlu həssas mühit dəyişənləri ifşa olunub.

Hadisə zamanı, AI tərəfindən yaradılan sətrdə tərs dırnaq içində olan set ifadəsi Bash tərəfindən komanda əvəzi kimi şərh olunub və avtomatik icra edilib. Bash heç bir parametr olmadan set icra etdikdə, cari bütün mühit dəyişənlərini çıxışa verir və nəticədə 100-dən çox sətr həssas məlumat (o cümlədən Telegram açarları, autentifikasiya Token-ləri və s.) birbaşa GitHub Issue-ya yazılıb və açıq şəkildə dərc olunub.

GoPlus tövsiyə edir ki, AI avtomatlaşdırılmış inkişaf və ya test ssenarilərində birbaşa Shell əmrlərinin birləşdirilməsi əvəzinə mümkün qədər API çağırışlarından istifadə edilsin, ən az səlahiyyət prinsipi ilə mühit dəyişənləri izolyasiya olunsun, yüksək riskli icra rejimləri deaktiv edilsin və əsas əməliyyatlarda insan tərəfindən yoxlama mexanizmi tətbiq edilsin.