Une faille de type « auto-attaque » découverte sur OpenClaw : exécution erronée de commandes Bash entraînant une fuite de clés
BlockBeats rapporte que le 5 mars, la société de sécurité Web3 GoPlus a publié un article indiquant que l’outil de développement AI OpenClaw a récemment été impliqué dans un incident de sécurité de type « auto-attaque ». Lors de l’exécution de tâches automatisées, le système a généré une commande Bash incorrecte lors de l’appel d’une commande Shell pour créer une GitHub Issue, déclenchant accidentellement une injection de commande et exposant un grand nombre de variables d’environnement sensibles.
Dans cet incident, la chaîne de caractères générée par l’IA contenait « set » entouré de backticks, ce qui a été interprété par Bash comme une substitution de commande et exécuté automatiquement. Comme Bash affiche toutes les variables d’environnement actuelles lorsqu’il exécute « set » sans argument, plus de 100 lignes d’informations sensibles (y compris des clés Telegram, des tokens d’authentification, etc.) ont finalement été directement écrites dans la GitHub Issue et publiées publiquement.
GoPlus recommande, dans les scénarios de développement ou de test automatisés par IA, d’utiliser autant que possible des appels API au lieu de concaténer directement des commandes Shell, de suivre le principe du moindre privilège pour isoler les variables d’environnement, de désactiver les modes d’exécution à haut risque et d’introduire un mécanisme de revue humaine pour les opérations critiques.
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
Flash : L'or au comptant dépasse 4 300 dollars l'once
Le fournisseur de services de marketing numérique hongkongais POCH Technology (POCH.US) augmente le prix de son IPO à 5-7 dollars, portant le montant de la collecte de fonds à 38 millions de dollars, soit une hausse de 33%.
Bosera Technology augmente le prix et l'envergure de son introduction en bourse aux États-Unis : la fourchette de prix d'émission est relevée à 5-7 dollars, avec une augmentation de 33 % du montant collecté par rapport au plan initial.
Le rendement des investissements du GPIF au deuxième trimestre atteint un niveau record : la hausse des actions compense la faiblesse du marché obligataire, le fonds maintient son indépendance face à la demande d’ajustement de la part du gouvernement japonais.
Le Fonds d'investissement des pensions gouvernementales japonaises (GPIF) a publié ses résultats trimestriels jusqu'à fin juin. Grâce à la forte reprise des marchés boursiers mondiaux et domestiques, le fonds a enregistré des gains trimestriels records, compensant entièrement le fardeau des avoirs en obligations d'État.
Prix des cryptos
Plus
