OpenClaw weist eine "Self-Attack"-Schwachstelle auf: Falsche Ausführung von Bash-Befehlen führt zum Schlüssel-Leak
BlockBeats Nachricht, am 5. März teilte das Web3-Sicherheitsunternehmen GoPlus mit, dass das AI-Entwicklungstool OpenClaw kürzlich einen „Selbstangriffs“-Sicherheitsvorfall erlebte. Während der Ausführung automatisierter Aufgaben konstruierte das System beim Aufruf von Shell-Befehlen zur Erstellung eines GitHub Issue einen fehlerhaften Bash-Befehl, was versehentlich eine Befehlsinjektion auslöste und zur Offenlegung zahlreicher sensibler Umgebungsvariablen führte.
Im Vorfall enthielt der von der AI generierte String das von Backticks umschlossene set, das von Bash als Befehlsersetzung interpretiert und automatisch ausgeführt wurde. Da Bash beim Ausführen von set ohne Parameter alle aktuellen Umgebungsvariablen ausgibt, wurden letztlich über 100 Zeilen sensibler Informationen (einschließlich Telegram-Schlüssel, Authentifizierungs-Token usw.) direkt in das GitHub Issue geschrieben und öffentlich gemacht.
GoPlus empfiehlt, in AI-automatisierten Entwicklungs- oder Testszenarien möglichst API-Aufrufe anstelle von direkter Shell-Befehlskombination zu verwenden, das Prinzip der minimalen Rechte zur Isolierung von Umgebungsvariablen zu befolgen, riskante Ausführungsmodi zu deaktivieren und bei kritischen Vorgängen einen manuellen Prüfmechanismus einzuführen.
Haftungsausschluss: Der Inhalt dieses Artikels gibt ausschließlich die Meinung des Autors wieder und repräsentiert nicht die Plattform in irgendeiner Form. Dieser Artikel ist nicht dazu gedacht, als Referenz für Investitionsentscheidungen zu dienen.
Das könnte Ihnen auch gefallen
In der vergangenen Woche haben Privatanleger in Rekordhöhe US-Chip-Leverage-ETFs gekauft, diese Woche sind sie stark gefallen.
Letzte Woche flossen 6.1 Milliarden USD von Privatanlegern in einen 3-fach gehebelten Chip-ETF, der am Donnerstag dieser Woche an einem einzigen Tag um 20,5% einbrach und damit nahezu punktgenau den Wendepunkt des beschleunigten Absturzes erwischte. Im Oktober beträgt der Gesamtverlust bereits über 43%, deutlich mehr als der Rückgang von 15,9% bei nicht-gehebelten Produkten im gleichen Zeitraum. Der Hauptgrund dafür liegt darin, dass die Markteinvestitionen in AI als wenig rentabel angesehen werden und die aggressiven Ausgaben der Tech-Giganten als größte Unsicherheit gelten, ob die erwarteten Gewinne tatsächlich realisiert werden können. Hebelprodukte vervielfachen die Kosten einer solchen Fehlentscheidung.
Der von Softbank unterstützte afrikanische Zahlungsriese strebt den US-Börsengang an! Opay (OPAY.US) plant eine Kapitalbeschaffung von 336 Millionen US-Dollar und könnte mit über 4 Milliarden US-Dollar bewertet werden.
Die auf den nigerianischen Markt spezialisierte Zahlungsplattform Opay Ltd. plant, durch einen Börsengang (IPO) bis zu 336 Millionen US-Dollar aufzubringen.
BMT steigt über 0,039 US-Dollar und verzeichnet kurzfristig einen Anstieg von über 40%.
Der CFO von Western Digital (WDC.US) widerspricht der These, dass die KI-Nachfrage ihren Höhepunkt erreicht hat: Es gibt keinerlei Anzeichen für eine Abschwächung; sollte es zu einer Abkühlung kommen, könnte uns dies sogar helfen, die Nachfragelücke aufzuholen.
Der CFO von Western Digital unterstützt die Nachfrage nach AI-Speicher und betont, dass Hyperscale-Cloud-Anbieter ihre Investitionsausgaben weiter ausbauen und bereits über die Versorgung im Zeitraum 2030 bis 2031 diskutieren. Trotz Quartalszahlen, die die Erwartungen übertreffen und einer angehobenen Gewinnprognose, sind die Investitionsausgaben des Unternehmens im Vergleich zum Vorjahr mehr als doppelt so hoch, was den freien Cashflow belastet und zu Bedenken hinsichtlich der Nachhaltigkeit der Renditen von Investitionen in AI-Datacentern führt. Am Freitag schloss der Aktienkurs mit etwa 3% im Minus.
Krypto-Preise
Mehr
