BlockBeats notícia, a 5 de março, a empresa de segurança Web3 GoPlus publicou que a ferramenta de desenvolvimento de IA OpenClaw foi recentemente exposta a um incidente de “auto-ataque” de segurança. Durante a execução de tarefas automatizadas, o sistema construiu comandos Bash incorretos ao chamar o comando Shell para criar uma Issue no GitHub, o que inadvertidamente acionou uma injeção de comandos, levando à divulgação de várias variáveis de ambiente sensíveis.
No incidente, a string gerada pela IA continha um set envolvido por crases, que foi interpretado pelo Bash como substituição de comando e executado automaticamente. Como o Bash, ao executar set sem argumentos, exibe todas as variáveis de ambiente atuais, isso resultou na escrita direta de mais de 100 linhas de informações sensíveis (incluindo chaves do Telegram, tokens de autenticação, etc.) na Issue do GitHub, tornando-as públicas.
A GoPlus recomenda que, em cenários de automação de IA para desenvolvimento ou testes, seja preferível usar chamadas de API em vez de concatenar comandos Shell diretamente, seguir o princípio de menor privilégio para isolar variáveis de ambiente, desativar modos de execução de alto risco e implementar mecanismos de revisão manual em operações críticas.
Aviso: As informações nesta página podem ser provenientes de terceiros e não representam as opiniões ou pontos de vista da Gate. O conteúdo exibido nesta página é apenas para referência e não constitui aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou integridade das informações e não será responsável por quaisquer perdas decorrentes do uso dessas informações. Os investimentos em ativos virtuais apresentam altos riscos e estão sujeitos a uma volatilidade de preços significativa. Você pode perder todo o capital investido. Por favor, compreenda completamente os riscos envolvidos e tome decisões prudentes com base em sua própria situação financeira e tolerância ao risco. Para mais detalhes, consulte o
Aviso Legal.
Related Articles
Exploit da Ponte do Kelp DAO Resulta em $293M Mint, Deixa a Aave com Mais de $200M em Dívida Ruim
Um atacante explorou uma vulnerabilidade na ponte cross-chain do Kelp DAO, roubando $293 milhões em rsETH não lastreado. O incidente causou perdas significativas para plataformas DeFi, com a Aave enfrentando até $236 milhões em dívida ruim e impactos substanciais no mercado.
GateNews9m atrás
Especialistas Alegam Que Métricas de Altcoins Estão Sendo “Manipuladas” para Enganar Investidores
O pesquisador de cripto Orbion levanta preocupações sobre a possível manipulação de indicadores-chave do mercado, incluindo o Altseason Index e o Crypto Fear and Greed Index, sugerindo que métricas infladas criam otimismo falso e induzem investidores a acreditar falsamente que o início da temporada de altcoins está próximo.
Coinpedia3h atrás
Curve Finance Suspende a Infraestrutura do LayerZero após Hack de rsETH
A Curve Finance suspendeu temporariamente sua infraestrutura do LayerZero devido a um incidente de segurança envolvendo rsETH. O protocolo está investigando o problema, afetando certas operações de ponte entre cadeias, enquanto outras continuam normalmente.
GateNews4h atrás
Explorador do KelpDAO toma $195M ETH emprestado da Aave, TVL cai US$ 6,28B enquanto whales retiram
Mensagem do Gate News: o explorador do KelpDAO tomou emprestado mais de 82.600 ETH ($195M) da Aave usando RSETH como garantia, o que fez com que um prejuízo (bad debt) aparecesse na Aave. Após esse incidente, inúmeros whales retiraram fundos da Aave, fazendo com que seu TVL caísse de US$ 26,396B para US$ 20,114B, uma queda de US$ 6,28B.
GateNews7h atrás
Co-Fundador da Monad Sugere Tectos Dinâmicos em Depósitos de Garantia para Mitigar Riscos de Hack
Keone Hon sugere que protocolos de empréstimo com reservas em pool implementem limites de taxa graduais para aumentos de ativos usados como garantia, a fim de mitigar riscos durante ataques. Ele argumenta que isso poderia ter evitado perdas significativas, como visto com depositantes de rsETH.
GateNews10h atrás
Polícia de Hong Kong alerta sobre golpe de criptomoedas de “trading quantitativo com IA”; mulher perde HK$7,7 milhões
A polícia de Hong Kong revelou uma fraude com criptomoedas em que uma mulher perdeu HK$7,7 milhões para golpistas que se passavam por especialistas em investimentos via Telegram, prometendo altos retornos por meio de negociação com IA. A polícia alertou o público sobre os riscos associados a investimentos em criptomoedas.
GateNews11h atrás
