NEAR AI Laporkan Breach RCE SGLang yang Membocorkan Request yang Sedang Diproses

NEAR AI mengumumkan laporan insiden keamanan pada 9 November 2026 mengenai serangan yang terjadi sehari sebelumnya. Menurut perusahaan, penyerang mengeksploitasi celah remote code execution pada SGLang, mesin inferensi open-source, dan memperoleh akses eksekusi kode di satu inference server. Dari titik itu, penyerang mengunduh detail akun sekitar 100 pengguna fitur Private Chat yang sudah tidak didukung, mencakup email, nama, dan sebagian informasi paket serta saldo. Sebanyak 18 agen legacy di luar lingkungan confidential computing juga tersentuh: riwayat obrolan, pengaturan, log, serta dua API key pelanggan yang kemudian dicabut.

Perusahaan menyatakan penyerang pada 8 November sempat mengamati request yang diproses, termasuk yang berjalan dalam mode confidential. NEAR AI membantah ada indikasi percakapan tersimpan atau file upload yang diakses. "Confidential computing melindungi data dari operator dan host. Ia tidak melindungi dari kerentanan pada software yang berjalan di dalam lingkungan itu," tulis laporan tersebut.

Per 10 November, proyek SGLang belum menerbitkan CVE, daftar versi terdampak, maupun patch publik; rilis terbaru v0.5.23 keluar 2 November. Sebelumnya, dua celah RCE pada SGLang, yakni CVE-2026-3059 di ZMQ broker dan CVE-2026-3060, telah dipatch awal tahun ini. Dalam laporan terpisah tertanggal 10 November, Black Kite mencatat 34,2 persen dari 18.160 perusahaan AI memiliki kerentanan kritis yang belum ditambal.