SGLang 推論引擎遠端程式碼執行漏洞遭利用，NEAR AI 伺服器失陷；另有 AI 程式碼代理可能把憑證寫入公開儲存庫
原始來源： The Hacker News · 2026/11/10
The Hacker News 於 2026/11/10 報導，並依 NEAR AI 2026/11/09 事件報告，攻擊者利用開源推論引擎 SGLang 的遠端程式碼執行漏洞，在該公司一臺推論伺服器上執行程式碼，並進一步進入內部系統。公司確認：約 100 名使用者的帳號資料（電子郵件、姓名，部分另含方案與餘額資訊）被下載；另有 18 個未運行於機密運算環境的代理被存取，含對話紀錄、設定與日誌；兩名客戶的雲端 API 金鑰出現在日誌中，並已撤銷。11 月 8 日當天，攻擊者還可能看到該伺服器正在處理的請求，包括以機密模式送出的請求。公司表示，機密運算環境並不能防禦「運行在環境內部的軟體」自身的漏洞。撰文時尚未公布 CVE 或受影響版本。公司已修補其推論伺服器、輪換憑證，並向 SGLang 專案通報。同一時段，Dark Reading 另報導資安業者 Apiiro 的研究：某款 AI 程式碼代理工具可能把含憑證的指令寫入專案設定檔，並出現在公開程式碼儲存庫。
重點先看
SGLang 遠端程式碼執行漏洞已遭利用，導致 NEAR AI 推論伺服器失陷。請盤點自建推論引擎、限制暴露面並輪換金鑰。另請檢查 AI 程式碼代理是否把憑證寫入公開儲存庫。
發生了什麼
依 The Hacker News 2026/11/10 報導，以及 NEAR AI 2026/11/09 發布的事件報告，攻擊者利用開源推論引擎 SGLang 的遠端程式碼執行漏洞，在該公司一臺推論伺服器上執行程式碼，再由此進入其他內部系統。公司調查後確認的影響包括：攻擊者進入已停止使用的 Private Chat 後方內部系統，下載約 100 名使用者的帳號資料，內容為電子郵件與姓名，部分帳號還包括方案與餘額資訊；公司表示，目前沒有跡象顯示已儲存的對話或上傳檔案被存取。攻擊者另外進入 18 個部署在較舊環境、未運行於該公司機密運算環境的代理，取得的資料包括對話紀錄、設定與日誌。另有兩名雲端服務客戶的 API 金鑰出現在日誌中，公司已撤銷這些金鑰。 偵測到攻擊後，公司撤銷了所有有效工作階段與管理憑證、更換代理權杖、將 Private Chat 下線，並在所有推論伺服器部署了針對該 SGLang 漏洞的修補，完成其餘憑證輪換與鑑識。雲端服務已恢復。公司已聯絡確認受影響的使用者，並向 SGLang 專案通報此漏洞。撰文時尚未公布 CVE 編號、受影響版本，也尚未說明專案是否已釋出修補。
機密運算無法覆蓋推論軟體本身的漏洞
NEAR AI 指出，11 月 8 日當天，攻擊者還可能看到該臺已失陷伺服器正在處理的使用者請求，包括以機密模式送出的請求。該模式原本是把請求放在可信執行環境（TEE）中處理，設計目的是讓連營運單位也無法直接讀取內容。但公司明確說明：機密運算保護的是「營運者與宿主機無法任意讀取其中資料」，並不能防禦「運行在這個環境內部的軟體」自身的漏洞。此次正是 SGLang 運行在該環境內，攻擊者利用其漏洞在伺服器內執行程式碼，因而能夠看到正在處理的請求。 這對自行建置推論服務的單位是重要提醒：把模型服務放進隔離或機密運算環境，不能取代對推論引擎、相依套件與周邊介面的弱點管理。對外暴露的推論與管理介面，仍須限制來源、修補已知問題，並監看異常請求。
建議立即處置
有自行部署 SGLang 或其他推論引擎的單位，建議依序處理： 1. 盤點哪些環境使用 SGLang，持續追蹤專案與上游是否釋出修補；在官方修補說明發布前，先限制推論與管理介面的網路暴露。 2. 推論服務、管理介面與內部系統之間應有明確隔離，避免單一伺服器失陷後直接進入帳號、金鑰或代理管理後台。 3. 輪換可能出現在日誌、設定或失陷主機上的 API 金鑰、工作階段、管理憑證與代理權杖。 4. 檢查日誌與存取紀錄，是否有未授權下載、異常管理操作，或金鑰被寫入日誌。 5. 將推論引擎、相依套件與部署組態納入軟體安全檢測與變更管理，不要只依賴執行環境的隔離能力。 6. 提醒使用者提防未主動要求、卻提及帳號或餘額的陌生訊息。
另一則相關觀察：AI 程式碼代理可能把憑證寫入公開儲存庫
同一時段，Dark Reading 於 2026/11/10 報導資安業者 Apiiro 的研究：在近 2,000 個公開程式碼儲存庫中，發現 2,539 組憑證，包括資料庫密碼、雲端金鑰、API 權杖與遠端登入資訊。研究指出，某款 AI 程式碼代理工具在執行「檢查資料庫或呼叫 API」這類指令時，會把含有憑證的指令內容寫入專案中的本機設定檔；若開發者選擇以後不必再詢問，該設定並不會自動成為專案本身的忽略規則，因而可能隨程式碼被提交。研究人員在大量可公開取得的同類設定檔中，找到超過 1,000 個含真實憑證的檔案。本文依指示不列出該工具名稱。 已使用同類代理工具的團隊，建議立刻盤點這些設定檔、輪換曾寫入的憑證，把代理工具相關路徑寫入「專案本身」的忽略清單，並在提交前與歷史紀錄中做憑證掃描，同時限制自動核准含密鑰的指令。
為什麼重要
自行建置的推論服務一旦出現可遠端執行程式碼的漏洞，影響可能不只是單一模型呼叫，還包括正在處理的請求、後端帳號與金鑰。即使採用機密運算，也無法自動修補運行在環境內部的軟體問題。此次事件沒有 CVE 與明確受影響版本，使用 SGLang 的環境更需要主動盤點與縮小暴露面。 另一則開發流程上的風險同樣具體：憑證一旦被代理工具寫進設定檔並進入公開儲存庫，任何人都可以嘗試使用。兩件事都指向同一類課題：AI 服務與 AI 開發工具都必須納入既有的弱點管理、介面治理與密鑰管控，而不是假設隔離環境或工具自己的單機保護就已足夠。
Cloudforce 可以協助哪些？
針對自建推論引擎遭遠端程式碼執行利用，以及 AI 程式碼代理把憑證寫入儲存庫的風險，可依下列方案對應： 1. CloudCoffer UTDS 未知威脅偵測與防禦：以 MatrixScope 盤點對外暴露的推論、管理與 API 介面；以 MatrixShield 未知威脅偵測分析通往這些介面的流量，協助發現異常請求與利用嘗試。這可降低修補完成前被探測或利用的機會，但不能取代更新、網路隔離與金鑰輪換。 2. 自建 AI 應用服務安全治理：協助檢視自建推論服務的介面暴露、存取控制、組態與相依元件治理，把推論引擎與周邊服務納入與正式系統相同的安全管理。 3. DevaEye 軟體安全檢測：對推論引擎、相依套件、部署組態，以及程式碼儲存庫、提交歷史與代理工具產生的設定檔進行弱點與憑證檢查，協助找出可被利用的問題與已曝光的金鑰。 4. Vibe coding 開發治理：協助建立代理工具的來源核准、提交前檢查、專案級忽略規則，以及限制自動核准含密鑰指令的流程。
常見問題
這次漏洞有 CVE 或受影響版本嗎？
撰文時尚未公布 CVE 編號與受影響版本，NEAR AI 表示已向 SGLang 專案通報，並在自己的推論伺服器完成修補。使用該引擎的單位應追蹤專案後續說明，並先限制介面暴露。
採用機密運算或隔離環境，是否就不會被看到請求內容？
不一定。此次說明指出，機密運算不能防禦運行在環境內部的軟體漏洞。攻擊者若能在推論引擎中執行程式碼，仍可能看到正在處理的請求。
沒有使用 NEAR AI，只是自行部署 SGLang，有關係嗎？
有。這次是該引擎的遠端程式碼執行漏洞遭利用。只要環境使用 SGLang，就應盤點版本、限制暴露面，並關注專案修補。
另一則 AI 程式碼代理把憑證寫進儲存庫，是同一起攻擊嗎？
不是。那是同一時段另一則研究觀察，說明開發流程中的憑證外洩風險。兩件事應分開處理，但都可以納入對 AI 服務與開發工具的治理。
CloudCoffer UTDS 能如何協助？
可協助盤點對外暴露的推論與 API 介面，並偵測針對這些介面的異常請求與未知利用嘗試。它不能取代修補、隔離與金鑰輪換。