BlockBeats notícia, a 5 de março, a empresa de segurança Web3 GoPlus publicou que a ferramenta de desenvolvimento de IA OpenClaw foi recentemente exposta a um incidente de “auto-ataque” de segurança. Durante a execução de tarefas automatizadas, o sistema construiu comandos Bash incorretos ao chamar o comando Shell para criar uma Issue no GitHub, o que inadvertidamente acionou uma injeção de comandos, levando à divulgação de várias variáveis de ambiente sensíveis.
No incidente, a string gerada pela IA continha um set envolvido por crases, que foi interpretado pelo Bash como substituição de comando e executado automaticamente. Como o Bash, ao executar set sem argumentos, exibe todas as variáveis de ambiente atuais, isso resultou na escrita direta de mais de 100 linhas de informações sensíveis (incluindo chaves do Telegram, tokens de autenticação, etc.) na Issue do GitHub, tornando-as públicas.
A GoPlus recomenda que, em cenários de automação de IA para desenvolvimento ou testes, seja preferível usar chamadas de API em vez de concatenar comandos Shell diretamente, seguir o princípio de menor privilégio para isolar variáveis de ambiente, desativar modos de execução de alto risco e implementar mecanismos de revisão manual em operações críticas.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
Related Articles
SlowMist deteta uma wor m npm “Mini Shai-Hulud” a roubar chaves CI/CD e dados de carteiras de cripto
De acordo com a empresa de segurança blockchain SlowMist, o seu sistema de monitorização de ameaças MistEye detetou um sofisticado worm npm chamado “Mini Shai-Hulud”, que se propaga através de projetos de desenvolvimento, incluindo TanStack, UiPath e DraftLab. O malware usa credenciais de GitHub comprometidas para publicar pacotes disfarçados de atualizações legítimas, injetando um script oculto chamado routerinit.js que corre silenciosamente em ambientes de CI/CD como o GitHub Actions. O worm t
GateNews1h atrás
Antigo CEO da Goliath Ventures, Delgado, pede desculpa, acusado de operar um esquema de pirâmide cripto $328M
Segundo a ChainCatcher, o ex-CEO da Goliath Ventures, Christopher Delgado, pediu recentemente desculpa aos investidores após ter sido acusado por procuradores dos EUA de operar um esquema Ponzi de criptomoedas no valor de 328 milhões de dólares. Delgado afirmou que traiu a confiança dos investidores e que se apresentou voluntariamente para enfrentar acusações de fraude e branqueamento de capitais. Os procuradores alegam que, entre janeiro de 2023 e janeiro de 2026, Delgado prometeu aos investido
GateNews3h atrás
Duas fugas de chave privada expõem $238K em 36 horas, avisa a GoPlus
De acordo com a GoPlus, ocorreram dois vazamentos de chaves privadas nas últimas 36 horas, resultando em perdas combinadas de 238 000 dólares. O endereço 0xUnihax0r perdeu 200 000 dólares e tinha previamente carregado bots de trading e acesso ao Telegram. O segundo endereço comprometido está ligado a um evento de maior exposição de chaves privadas que afecta 574 endereços.
GateNews6h atrás
«Gatinho em bramido» volta a publicar o endereço da Pump.fun após 16 meses de inactividade, e os traders suspeitam que a conta foi comprometida
De acordo com a BeInCrypto, a 11 de maio, a conta X verificada de Keith Gill, «Roaring Kitty», com 1,6 milhões de seguidores, voltou após 16 meses de inatividade, publicando um endereço de contrato do Solana Pump.fun e um vídeo curto. Devido ao estilo da publicação ser completamente diferente das anteriores opiniões de mercado de Gill, há suspeitas generalizadas de que a conta terá sido comprometida. Retorno da conta X e detalhes da publicação Segundo a notícia, as publicações da conta X de Roar
MarketWhisper7h atrás
