Signal
📡 Signal｜NEAR AI に不正アクセス、約100人の会員情報が流出
NEAR AI が SGLang の遠隔コード実行の脆弱性を突かれ、約100人の会員情報や18のエージェントの履歴が流出。機密計算 (TEE) は環境内のソフトの穴を防がないと明記した。
NEAR AI は11月9日、自社の基盤の一部に不正アクセスを受けたと公表した。攻撃者はオープンソースの推論エンジン SGLang の遠隔コード実行の脆弱性を突き、推論サーバー1台でコードを動かした。そこから他の基盤に入り込み、約100人の会員情報 (メールアドレス・氏名、一部は契約プランと残高) を持ち出した。
NEAR AI — SGLang の脆弱性による不正アクセスの報告 (2026年11月9日)near.ai
NEAR AI は、利用者の要求を管理者からも見えない形で処理する「機密計算」を使った AI の基盤を提供している。今回の報告は、その機密計算が守れない場所を自ら書いている。機密の環境の中で動くソフトウェアに穴があれば、機密計算はそれを防がない。
何が持ち出されたか
報告書が挙げる被害は4つある。
- 約100人の会員のアカウント情報
- 旧版の NEAR AI Agents で動いていた18のエージェントのチャット履歴・設定・ログ。これらは機密計算の環境 (TEE) の外で動いていた
- 2社のクラウド顧客の API キー。ログに残っていたもので、すでに失効させた
- 侵入されたサーバーで処理中だった利用者の要求。11月8日には、機密モードで動く要求も含めて、攻撃者が観察できた可能性がある
一方で、保存されている Private Chat の会話やアップロードされたファイルに攻撃者が触れた形跡は見つかっていないという。攻撃者は、すでに提供を終えていた Private Chat の内部システムまで到達していた。
機密計算の「外側」
最後の項目が、この事件の中心だ。TEE (信頼できる実行環境) は、サーバーの管理者からも処理中のデータを見えないようにする仕組みで、NEAR AI はこれを使った推論を提供してきた。しかし推論そのものを担う SGLang は、その環境の中で動く。NEAR AI は報告の中で、機密計算は環境の中で動くソフトウェアの脆弱性からは守らないと明記し、今後は推論ソフトとその周辺のサービスにも、隔離環境 (エンクレーブ) と同じ水準のセキュリティをかけると書いた。
SGLang をめぐる事故は、これが初めてではない。Cloudflare は10月26日、SGLang の設定の誤りと、長すぎる要求の扱いの不具合が重なり、8月27日〜9月9日に一部の顧客へ別の顧客の要求の内容を含む応答を返していたと公表している。AI の推論エンジンは、モデルそのものとは別の攻撃面として扱う段階に入った。
対応
NEAR AI は、検知した時点ですべてのセッションと管理者の認証情報を無効にし、エージェントのトークンを入れ替え、Private Chat を止めた。SGLang の脆弱性の修正はすべての推論サーバーに入れ、残りの認証情報の入れ替えとフォレンジック調査も終えたという。脆弱性は SGLang のプロジェクトに報告した。報告書は CVE 番号や影響を受けるバージョンを示していない。
情報を持ち出された利用者には security@near.ai から連絡し、18のエージェントの持ち主には個別に知らせた。アカウントや残高について突然届く連絡には注意するよう呼びかけている。必要な当局への届け出も行うとしている。
次に見るもの
確認先は SGLang の GitHub の Security Advisories (sgl-project/sglang) だ。NEAR AI が報告した脆弱性について、修正版と CVE 番号が公表されるかを見る。公表されれば、SGLang を使う他の推論サービスが同じ穴を抱えていたかどうかを、各社が自分で確かめられるようになる。
ことば
- SGLang — 大規模言語モデルを高速に動かすためのオープンソースの推論エンジン。多くの AI サービスが自社のサーバーでモデルを提供する土台として使っている。
- TEE (信頼できる実行環境) — CPU や GPU の中に隔離された領域を作り、サーバーの管理者からも処理中のデータを見えないようにする仕組み。ただし領域の中で動くプログラム自体の欠陥は防げない。
- 遠隔コード実行 (RCE) — 外部からの細工した入力で、相手のサーバー上で任意のプログラムを動かせてしまう種類の脆弱性。最も深刻な部類に数えられる。
🔗 一次ソース
