A brecha que atravessou o isolamento de hardware
Um invasor usou uma falha no SGLang — motor de código aberto que executa modelos de inteligência artificial e devolve as respostas aos pedidos dos usuários — para rodar comandos próprios em um servidor de inferência da Near AI e, a partir dele, alcançar outras camadas da infraestrutura da empresa. O resultado do avanço: dados de aproximadamente 100 contas de usuários e o conteúdo de 18 agentes de IA. O relatório do incidente veio a público em 9 de novembro.
A técnica explorada é classificada como execução remota de código, situação em que o atacante consegue disparar instruções dentro de uma máquina alheia como se fosse o próprio dono do sistema. Os investigadores ligaram a entrada da intrusão a um sistema interno conectado ao Chat Privado, recurso que a Near AI já havia desligado.
O que foi efetivamente levado
A empresa separa o que considera confirmado daquilo que segue como possibilidade em aberto. Não há indício de acesso a conversas privadas arquivadas ou a arquivos enviados pelos clientes. Já a exposição de solicitações confidenciais processadas em tempo real continua como hipótese que a apuração não descartou.
| Item comprometido | Volume | Natureza dos dados |
|---|---|---|
| Contas ligadas ao Chat Privado | cerca de 100 | nomes, e-mails, plano de assinatura e saldo de parte dos titulares |
| Agentes na versão antiga do Near AI Agents | 18 | histórico de conversas, configurações e registros |
| Chaves de API da NEAR AI Cloud | duas | credenciais digitais de dois clientes, posteriormente revogadas |
Os 18 agentes afetados não rodavam no ambiente de computação confidencial da Near AI, camada desenhada justamente para blindar as informações de quem opera os servidores. A Near AI informou ter revogado as duas chaves de API, mas não detalhou se o invasor chegou a utilizá-las. Também não houve identificação de usuários do navegador Brave entre os atingidos, apesar do acordo firmado em outubro para que o assistente Leo, do Brave, usasse a infraestrutura de inferência confidencial da Near AI.
Privacidade como produto tem um elo frágil
A Near AI integra o ecossistema Near, que combina ambições em blockchain com uma proposta de privacidade para cargas de inteligência artificial. O produto Cloud da empresa utiliza ambientes de execução confiáveis, os TEEs, que mantêm as solicitações criptografadas e isoladas do operador da máquina mesmo durante o processamento pelo modelo.
O episódio mostra o limite dessa arquitetura. O hardware protegido não impede que um software vulnerável rodando dentro dele seja comprometido — e foi exatamente por essa fresta que o invasor passou, executando código no mesmo espaço em que pedidos sigilosos eram tratados. Para uma companhia que comercializa privacidade como diferencial competitivo, a conclusão é desconfortável: a garantia termina onde começa a segurança da pilha de software.
O SGLang já era objeto de atenção de pesquisadores. Em julho, o centro de coordenação CERT da Universidade Carnegie Mellon catalogou seis vulnerabilidades no projeto, entre falhas capazes de permitir execução de comandos ou vazamento de credenciais conforme a configuração de cada servidor. A Near AI não apontou qual brecha específica foi usada neste caso, o que impede vincular o ataque àquelas divulgações anteriores. O problema foi reportado aos mantenedores do SGLang.
Resposta e o recado para quem opera agentes
A Near AI descreveu uma sequência de contenção que incluiu o encerramento de sessões ativas e credenciais administrativas, a substituição dos tokens de agentes, o desligamento definitivo do Chat Privado e a aplicação de correção para o SGLang em todos os servidores de inferência. A empresa afirma ter concluído a rotação das credenciais restantes e uma revisão forense completa, além de notificar os titulares das contas e dos agentes alcançados e contatar individualmente os donos dos 18 agentes.
O alerta aos usuários é para desconfiar de mensagens não solicitadas que mencionem contas ou saldos na Near AI — vetor clássico de phishing depois de vazamentos de e-mail. As notificações regulatórias exigidas também estão no escopo do que a empresa diz que fará.
Para o investidor, o caso oferece três leituras práticas. A primeira é que projetos de IA descentralizada carregam risco operacional de software aberto, nem sempre auditado na velocidade da implantação. A segunda é que agentes autônomos acumulam credenciais e histórico de interações, o que os transforma em alvo de alto valor. A terceira é reputacional: quando a privacidade é o argumento de venda, cada incidente cobra um preço de confiança maior do que em serviços comuns de nuvem, e a recuperação depende de transparência e de prazos de divulgação curtos.