02.11.2025
1 хв
603
Критична вразливість у NVIDIA NemoClaw може дозволити зловмисникам перехопити керування ШІ-агентом після того, як користувач відвідає шкідливий вебсайт.
Ця знахідка поповнила список проблем безпеки, які демонструють, наскільки легко ШІ-агенти можуть перетворитися з корисних помічників на інструменти для атак.
У лютому 2026 року дослідники Oasis Security з’ясували, що шкідливий вебсайт може непомітно захопити OpenClaw, ШІ-агента з відкритим кодом, яким користуються розробники. Вразливість під назвою ClawJacked показала, що для компрометації агента зловмиснику не обов’язково використовувати шкідливе програмне забезпечення або небезпечний плагін. Іноді для атаки не потрібні навіть очевидні дії з боку користувача.
Тепер фахівці виявили схожу проблему в NVIDIA NemoClaw. Цей інструмент призначений для запуску OpenClaw усередині захищеного середовища NVIDIA OpenShell. Вразливість, що відстежується як CVE-2026-65105, може надати зловмисникам контроль над локальною моделлю ШІ, яка забезпечує роботу агента, якщо жертва відкриє контрольовану атакувальником вебсторінку.
Після успішної компрометації зловмисник здатний непомітно змінювати поведінку моделі під час усіх наступних розмов. Користувач при цьому може не побачити жодних очевидних ознак втручання.
Це створює принципово інший тип загрози. Скомпрометований ШІ-агент може стати точкою входу до ресурсів, які перебувають далеко за межами однієї вкладки браузера. Дослідники попереджають, що ізольоване середовище здатне обмежити частину потенційної шкоди, але не усуває ризик повністю, якщо агент має законний доступ до інших систем.
Вразливість у NemoClaw виявили на тлі зростання занепокоєння щодо так званого отруєння ШІ. Під час таких атак зловмисники не втручаються безпосередньо в роботу моделі, а маніпулюють інформацією, яку споживає система штучного інтелекту.
Одним із показових прикладів став випадок, коли ШІ-сервіс DuckDuckGo помилково повідомив про смерть Дональда Трампа від сказу. Інцидент продемонстрував, наскільки легко системи штучного інтелекту можуть підхоплювати сфабриковані відомості, якщо зловмисники навмисно забруднюють джерела, на які вони покладаються.
Дослідники безпеки також дедалі частіше знаходять приховані на вебсайтах шкідливі інструкції для ШІ-агентів. Відвідавши таку сторінку, агент може отримати команду проігнорувати початкове завдання, розкрити конфіденційну інформацію або виконати дію на користь атакувальника.
Вразливість у NemoClaw робить цю проблему ще небезпечнішою, оскільки атака спрямована на локальну ШІ-інфраструктуру, що забезпечує роботу агента. NemoClaw може використовувати Ollama, платформу для запуску великих мовних моделей безпосередньо на обладнанні користувача.
Локальний запуск ШІ забезпечує більший контроль над даними та допомагає підвищити конфіденційність. Водночас він позбавляє користувачів значної частини централізованих механізмів захисту, які пропонують такі сервіси, як OpenAI, Google та Anthropic.
Саме тому вразливість у NemoClaw становить серйозну загрозу. Раніше дослідники вже попереджали, що кіберзлочинці можуть скористатися відсутністю централізованого захисту для захоплення комп’ютерів, на яких працюють моделі ШІ з відкритим кодом, поза межами захисних механізмів великих ШІ-платформ.
