Attacco a NEAR AI: la falla SGLang mette alla prova l’inferenza confidenziale

Il calcolo confidenziale viene venduto da anni come la risposta definitiva alla domanda più scomoda dell’AI in cloud: a chi finiscono i dati che mandi a un modello? Il 9 novembre 2026 NEAR AI ha pubblicato un rapporto che mette alla prova questa promessa. Un attaccante ha sfruttato una vulnerabilità non corretta in SGLang, un motore di inferenza open source, e da un singolo server è riuscito a raggiungere altre parti dell’infrastruttura della piattaforma.

È un caso istruttivo, perché non riguarda un modello che sbaglia o un agente che esce dai binari, ma qualcosa di molto più concreto: il software che fa girare i modelli.

Che cosa è successo a NEAR AI

Secondo il rapporto ufficiale sull’incidente di sicurezza, l’8 novembre un soggetto non autorizzato ha sfruttato una vulnerabilità di esecuzione di codice da remoto in SGLang, il motore di inferenza open source in esecuzione sui server di NEAR AI. Il risultato è stato il controllo di codice su un server di inferenza e, da lì, l’accesso ad altre componenti dell’infrastruttura.

NEAR AI, la piattaforma legata all’ecosistema NEAR che offre inferenza privata dentro ambienti di esecuzione fidati (TEE), racconta di aver individuato e contenuto l’accesso, di averlo chiuso, di aver sostituito le credenziali coinvolte, di aver corretto la falla e di aver ripristinato l’accesso a NEAR AI Cloud. Il rapporto non indica però quando è stata rilevata l’intrusione né per quanto tempo l’attaccante sia rimasto dentro.

Che cosa è stato raggiunto

Il perimetro dichiarato è più ampio di un singolo server. L’attaccante ha avuto accesso a un sistema interno dietro Private Chat, un prodotto che nel frattempo è stato dismesso, da cui ha scaricato dati degli account. Ha poi raggiunto 18 agenti di una vecchia distribuzione di NEAR AI Agents, che non girava nell’ambiente confidenziale TEE: in questo caso i dati recuperati comprendono cronologia delle chat, impostazioni e log.

Ci sono poi le richieste in tempo reale. Sul server compromesso l’attaccante avrebbe potuto osservare le richieste in elaborazione l’8 novembre, comprese quelle inviate in modalità confidenziale. Infine, le chiavi API di due clienti di NEAR AI Cloud sono finite esposte nei log.

Chi è coinvolto, in numeri

Il bilancio dichiarato parla di circa 100 utenti i cui dati di account sono stati scaricati, tra cui indirizzi email e nomi e, per alcuni, informazioni su piano e saldo. A questi si aggiungono i 18 proprietari degli agenti e i due clienti Cloud con le chiavi esposte, già revocate. NEAR AI afferma di non avere indicazioni che le conversazioni salvate o i file caricati su Private Chat siano stati consultati.

I numeri sono contenuti. Il punto, però, non sta nella quantità.

Perché il calcolo confidenziale non basta da solo

La parte più interessante del documento è l’ammissione tecnica. NEAR AI scrive che il calcolo confidenziale protegge i dati dall’operatore e dall’host, ma non dalle vulnerabilità del software che gira dentro l’ambiente protetto. È esattamente ciò che è accaduto: la falla in SGLang ha permesso di eseguire codice dentro il perimetro che avrebbe dovuto isolare le richieste, e quindi di vedere cosa stava elaborando quel server.

Per chi usa l’inferenza confidenziale è un promemoria utile. Un TEE garantisce che chi gestisce l’hardware non possa leggere la memoria, ma la sicurezza della pila applicativa che sta sopra resta una questione a parte. Un motore di inferenza è software complesso, spesso aggiornato in fretta per stare dietro ai nuovi modelli, e come ogni software può avere falle di esecuzione remota.

Per capire il contesto, vale la pena rileggere l’accordo tra Anthropic e Opaque Systems sul confidential computing: la direzione dell’industria è proprio quella di spostare i carichi sensibili in ambienti isolati. Il caso NEAR AI ricorda che l’isolamento è una condizione necessaria, non sufficiente.

Il peso dell’open source nell’inferenza

SGLang è uno dei motori open source più usati per servire modelli linguistici. Il fatto che sia pubblico è un vantaggio per la trasparenza, ma significa anche che una vulnerabilità nota e non ancora corretta diventa un bersaglio per chiunque sappia dove cercare. NEAR AI dice di aver segnalato la falla al progetto SGLang e di aver distribuito la correzione su tutti i server di inferenza. Il rapporto non fornisce un identificativo CVE né i dettagli tecnici della vulnerabilità, quindi per ora non è possibile valutarne la portata complessiva su altre installazioni.

Se gestisci un tuo stack di inferenza, il consiglio pratico è semplice: verifica che il motore che usi sia aggiornato e controlla con attenzione che segreti e chiavi non finiscano nei log.

Le misure prese e quello che resta da chiarire

Al momento del rilevamento NEAR AI ha revocato tutte le sessioni attive e le credenziali amministrative, sostituito i token degli agenti, messo offline Private Chat e distribuito la correzione. In seguito ha completato la rotazione di tutte le altre credenziali, concluso una revisione forense completa, segnalato la vulnerabilità a SGLang e avvisato direttamente utenti e proprietari di agenti. L’azienda aggiunge che effettuerà le eventuali notifiche normative richieste.

Restano alcune zone d’ombra. Il rapporto non dice quanti server di inferenza fossero interessati, per quanto tempo NEAR AI Cloud sia stato indisponibile, se i dati siano stati modificati o cancellati, né se Private Chat tornerà online. Alcuni resoconti della giornata parlano di una sospensione dell’inferenza: il testo ufficiale, invece, parla di accesso a NEAR AI Cloud ripristinato e non descrive una sospensione generale, ed è questa la versione che conta.

NEAR AI sostiene inoltre che codice, dipendenze e configurazioni dello stack di inferenza confidenziale restano pubblici, in modo che chiunque possa verificare che cosa gira davvero. È un buon argomento in favore della verificabilità, anche se non sostituisce un patching tempestivo.

Che cosa fare se usi NEAR AI

Le indicazioni dell’azienda sono pragmatiche. Diffida dei messaggi non richiesti che citano il tuo account o il tuo saldo, perché i dati scaricati possono alimentare tentativi di phishing. Aspettati comunicazioni dirette da security@near.ai, che contengono i passaggi specifici per ogni utente. Se sei uno dei due clienti Cloud con le chiavi esposte, controlla che quelle vecchie risultino revocate e sostituiscile se serve.

Una lezione che va oltre NEAR AI

L’incidente arriva in una fase in cui la sicurezza dell’infrastruttura AI è tornata al centro delle cronache. Pochi giorni fa abbiamo raccontato come Fireworks AI abbia ampliato il proprio data breach, fino a toccare dati di fatturazione e, per alcuni account, segreti e dataset. E nelle settimane scorse il tema degli attacchi che passano da file e strumenti di sviluppo è emerso con il caso degli agents.md nella cartella dei download.

Il filo comune è chiaro: man mano che le aziende affidano ai modelli dati sempre più sensibili, il bersaglio si sposta dal modello al contorno. Motori di inferenza, log, token degli agenti, vecchie distribuzioni dimenticate. Sono i punti dove di solito si apre la breccia.

Per un’azienda che sceglie un fornitore di inferenza privata, le domande giuste diventano concrete. Quanto tempo passa tra la pubblicazione di una falla e la sua correzione? Quali componenti restano fuori dall’ambiente confidenziale? Che cosa finisce nei log? Quanto è documentato il piano di risposta agli incidenti?

Va riconosciuto a NEAR AI di aver pubblicato un rapporto dettagliato, con perimetro, numeri e azioni correttive, e di aver detto apertamente che cosa il calcolo confidenziale non protegge. È un livello di trasparenza che non è scontato, e che aiuta tutto il settore a ragionare sui limiti reali di queste tecnologie.

Conclusioni

L’attacco a NEAR AI non smonta l’idea di inferenza confidenziale, ma ne ridimensiona la narrazione più semplicistica: un ambiente isolato protegge dall’operatore, non da un motore di inferenza vulnerabile. La sicurezza resta una catena, e basta un anello non aggiornato per esporre richieste, chiavi e dati di account.

Se lavori con servizi di inferenza esterni o gestisci i tuoi modelli, usa questa notizia come pretesto per una revisione rapida: aggiorna i motori di inferenza, ruota le chiavi, ripulisci i log e dismetti ciò che non usi più. E continua a seguire intelligenzaartificiale.net per gli aggiornamenti su sicurezza e privacy nell’AI.