if ( !emtpy($headline_subheadline ) ) : ?>
Une faille de rebinding DNS pourrait donner aux attaquants un accès non authentifié au serveur Ollama local de NemoClaw et leur permettre d’implanter des instructions qui persisteraient dans les conversations futures.
endif; ?>
Une vulnérabilité affectant NemoClaw de Nvidia pourrait permettre à un attaquant de prendre le contrôle du serveur modèle Ollama local via une seule visite malveillante d’un site Web sur la machine de la victime.
Selon une étude de Cyera, la faille pourrait donner aux attaquants un accès non authentifié au serveur, leur permettant d’insérer des instructions dans le modèle qui persisteraient dans les conversations futures. L’attaquant ne se connecte pas directement au serveur Ollama de la victime depuis Internet. Au lieu de cela, la page Web malveillante incite le navigateur à atteindre l’API Ollama exécutée localement via la reliure DNS.
Une fois que cela se produit, le modèle de discussion du modèle, une couche qui contrôle la manière dont les messages sont présentés au modèle, est manipulé pour ajouter des instructions malveillantes aux invites système de l’agent.
« Avec CVE-2026-65105, un attaquant peut modifier la façon dont le modèle de NemoClaw lit chaque message qui lui est transmis – une couche sous tout ce qu’un garde-corps ou un opérateur peut voir – et le changement survit à chaque session future, laissant un problème d’intégrité très difficile à détecter », a déclaré Elad Luz, responsable de la recherche chez Oasis Security, qui est en cours d’acquisition par Cyera. « La tendance générale est que les agents deviennent des identités dotées de véritables droits, et nous continuons à les sécuriser comme des outils. »
La faille a maintenant été corrigée par Nvidia pour les systèmes non Windows.
DNS Rebinding fait sortir Ollama des murs locaux
NemoClaw est conçu pour exécuter l’agent OpenClaw AI dans le bac à sable OpenShell de Nvidia. Pour l’inférence locale, NemoClaw peut utiliser Ollama, permettant aux modèles de s’exécuter sur la propre machine du développeur plutôt que d’envoyer des invites et du code à un service cloud.
Le problème commence avec le réseau. Étant donné que le bac à sable OpenShell s’exécute dans un conteneur Docker, il ne peut pas atteindre un service Ollama écoutant uniquement sur l’adresse de bouclage, 127.0.0.1. NemoClaw démarre donc Ollama avec « OLLAMA_HOST=0.0.0.0:11434 », le faisant écouter sur toutes les interfaces réseau.
Cela résout le problème de connectivité des conteneurs mais désactive également une protection Ollama importante. L’API d’Ollama ne nécessite pas d’authentification et utilise normalement des vérifications CORS et Host-header pour empêcher tout accès non autorisé au navigateur. Mais quand Ollama est lié à une adresse sans bouclage, sa validation d’en-tête Host est ignorée.
Un attaquant peut ensuite utiliser la reliaison DNS pour qu’une page Web malveillante soit initialement résolue sur le serveur de l’attaquant, puis résolue en 127.0.0.1 ou une adresse de réseau local. Le navigateur considérerait toujours que les requêtes appartiennent au nom d’hôte contrôlé par l’attaquant, mais Ollama les recevrait, ce qui entraînerait un accès non authentifié à l’API locale.
« Les éléments individuels ici ne sont pas nouveaux », a déclaré Randolph Barr, responsable de la sécurité des informations chez Cequence Security. « La reliure DNS est une astuce des navigateurs depuis plus d’une décennie, mais la diriger vers un serveur modèle local non authentifié est la nouveauté. »
Cyera a découvert qu’un attaquant pouvait énumérer les modèles installés et la version d’Ollama, récupérer les détails du modèle et les invites du système, supprimer des modèles, télécharger des modèles volumineux pour consommer de l’espace disque et manipuler l’installation locale d’Ollama.
Le modèle empoisonné refuse de s’en aller
Le problème le plus grave concerne ce qui se passe une fois l’accès à l’API obtenu.
Cyera a testé l’injection d’instructions malveillantes via la configuration du modèle d’Ollama. Une simple injection d’invite système n’était pas suffisante car OpenClaw fournit sa propre invite système lors de la communication avec le modèle. Les chercheurs ont donc plutôt ciblé le modèle de chat du modèle.
La modification du modèle pourrait permettre à l’attaquant de conserver le comportement d’origine du modèle tout en ajoutant ses propres instructions aux messages système. Étant donné que la modification a été effectuée au niveau du modèle, l’agent OpenClaw ne la voit pas et ne peut pas la remplacer avec sa propre invite système.
Le modèle empoisonné persiste dans les conversations futures et reste invisible dans les métadonnées ordinaires du modèle, ont découvert les chercheurs.
L’exposition dépend de ce à quoi l’agent compromis est autorisé à accéder. Cyera a déclaré que les instructions injectées pourraient potentiellement pousser un agent vers des packages ou des URL contrôlés par un attaquant, supprimer les avertissements de sécurité, introduire du code vulnérable ou exfiltrer des informations via l’accès réseau disponible.
