Une faille de type « auto-attaque » découverte sur OpenClaw : exécution erronée de commandes Bash entraînant une fuite de clés
BlockBeats rapporte que le 5 mars, la société de sécurité Web3 GoPlus a publié un article indiquant que l’outil de développement AI OpenClaw a récemment été impliqué dans un incident de sécurité de type « auto-attaque ». Lors de l’exécution de tâches automatisées, le système a généré une commande Bash incorrecte lors de l’appel d’une commande Shell pour créer une GitHub Issue, déclenchant accidentellement une injection de commande et exposant un grand nombre de variables d’environnement sensibles.
Dans cet incident, la chaîne de caractères générée par l’IA contenait « set » entouré de backticks, ce qui a été interprété par Bash comme une substitution de commande et exécuté automatiquement. Comme Bash affiche toutes les variables d’environnement actuelles lorsqu’il exécute « set » sans argument, plus de 100 lignes d’informations sensibles (y compris des clés Telegram, des tokens d’authentification, etc.) ont finalement été directement écrites dans la GitHub Issue et publiées publiquement.
GoPlus recommande, dans les scénarios de développement ou de test automatisés par IA, d’utiliser autant que possible des appels API au lieu de concaténer directement des commandes Shell, de suivre le principe du moindre privilège pour isoler les variables d’environnement, de désactiver les modes d’exécution à haut risque et d’introduire un mécanisme de revue humaine pour les opérations critiques.
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
CoreWeave envisage d'émettre au moins 4 milliards de dollars de prêts de qualité investissement, chutant de près de 6 % après la clôture des marchés.
Selon Bloomberg, CoreWeave cherche à refinancer au moins 4 billions de dollars par le biais d’un prêt de qualité investissement, dirigé par Morgan Stanley et Mitsubishi UFJ, avec une syndication pouvant débuter dès la semaine prochaine. Ce financement poursuit la structure de garantie basée sur les puces Nvidia et les contrats clients, avec un rendement prévu d’environ 7% à 7,5%, bien inférieur à celui de ses obligations spéculatives. Après l’annonce, l’action CoreWeave a chuté de près de 5,8% après la clôture.
Sur un mois, surperformer le S&P de 19,2 points de pourcentage : Berkshire (BRK.B) réalise son plus grand avantage relatif mensuel depuis 2010, uniquement surpassé par la crise financière de 2008
Alors que la vague de trading de l’IA s’estompe et que les actions technologiques vacillent, l’un des plus anciens « refuges » du marché prouve à nouveau sa valeur. Berkshire Hathaway (BRK.B) vient tout juste d’enregistrer l’une de ses performances relatives les plus remarquables de ces dix dernières années.
Prix des cryptos
Plus
