Oasis Security披露NVIDIA NemoClaw缺陷：恶意网页可通过DNS重绑定接管本地Ollama，向AI模型植入隐藏指令，用户毫无感知。
你让AI助手帮你读一份文件，它乖乖照做，顺便把你的API密钥发了出去——这不是科幻片的桥段。Oasis Security刚披露了一个让人后背发凉的攻击链：受害者只是打开了一张普通网页，本地跑的AI大模型就被悄悄”夺舍”了，从此每一轮对话都带着攻击者埋下的隐藏指令，而你和AI客户端都完全察觉不到。
这次的靶子是NVIDIA NemoClaw——英伟达开源的AI Agent参考运行栈，不少团队拿它在本地沙箱里跑OpenClaw这类智能体，后端用Ollama做本地推理。
问题出在一个看似无害的配置上：在Windows宿主机路径下，NemoClaw会用OLLAMA_HOST=0.0.0.0:11434启动Ollama，把模型API绑到了所有网卡上。这个API本身没有鉴权，只靠两层中间件拦浏览器请求。可一旦绑定地址不是127.0.0.1，Host头校验直接跳过，CORS又把攻击者域名的请求当成同源放行。
最后的点睛之笔是DNS重绑定：攻击者的域名先解析到自己的服务器，再解析到127.0.0.1，浏览器全程以为自己在跟”同一个网站”聊天。你点开一张网页的功夫，页面里的脚本就已经摸到了你本地的Ollama API。这个手法不新鲜——Ollama在2024年就修过类似问题（CVE-2024-28224），但NemoClaw的配置把老坑又挖开了。
拿到API访问权后，攻击者干的事比直接偷数据阴得多：通过/api/create接口写入一个改过的Go模板。
这个模板管的是消息数组渲染成原始文本的过程。被动过手脚的版本，会在推理时往每一条系统消息后面偷偷追加攻击者写的指令。从此，这个模型的每一轮对话、每一个新会话，都带着这颗雷——就算Agent换了自己的系统提示词也没用。
Oasis Security的原话很扎心：”客户端无法检测也无法阻止——模板是模型层面的属性，对API调用方完全不可见。”更扎心的是另一句：”沙箱保护了终端，但接管Agent，就接管了它所有的访问权限和工具。”你给AI配的代码执行、文件读写、内网访问权限，全成了攻击者的嫁妆。
这次披露最让人不舒服的一点是：没有CVE编号、没有影响版本范围、没有修复版本。跑NemoClaw的团队现在连”我在不在射程内”都没法直接确认。好消息是截至8月25日还没有在野利用报告；The Hacker News复查代码发现，8月10日的v0.0.106版本加了绑定探测，代理遇到非回环绑定的Ollama会拒绝启动——但这个检查恰好覆盖不到设了0.0.0.0绑定的Windows宿主机路径，也可以被环境变量手动关掉。
给正在用本地AI Agent栈的团队几条实操建议：第一，立刻检查Ollama的OLLAMA_HOST配置，绑回127.0.0.1，别图省事用0.0.0.0；第二，不要把11434端口暴露给局域网或公网；第三，关注NemoClaw仓库更新，别手动设置NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1绕过绑定检查；第四，有条件的给模型文件和聊天模板做完整性校验，启动时比对哈希。
这已经是Oasis Security第三次用类似路径拿下本地AI Agent了——2月劫持本地OpenClaw，8月初投毒Paperclip，现在轮到了NemoClaw。套路一脉相承：浏览器是跳板，本地API是缺口，模型模板是持久化阵地。
整个行业都在忙着给AI Agent接工具、放权限，却很少有人问一句：这个跑在本地、握着你全部钥匙的”员工”，它的脑子会不会被别人悄悄换掉？AI落地的第一课不是提示词工程，是先想清楚——你的模型，还是你的模型吗？
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。