ثغرة في NVIDIA NemoClaw تسمح لصفحة ويب بتسميم النموذج المحلي على جهاز المطور
تشغيل النموذج محليًا لا يعني أنه معزول؛ فالخادم المحلي بلا طبقة تصاريح، والمتصفح المفتوح بجواره قد يكون أقرب طريق إليه، والتعليمات المزروعة تبقى داخل النموذج نفسه.
نشر باحثو Oasis Security في 25 أغسطس 2026 تفاصيل ثغرة في NVIDIA NemoClaw، وهي الحزمة التي قدمتها NVIDIA لتشغيل عميل OpenClaw محليًا داخل sandbox، مع نموذج محلي يعمل عبر Ollama. وتحمل الثغرة الرقم CVE-2026-65105، ويكفي لاستغلالها أن يزور المطور صفحة ويب خبيثة، دون تنزيل أي ملف ودون كلمة مرور.
وتقوم المشكلة على ثلاثة عناصر. أولها أن NemoClaw كان يشغّل Ollama بإعداد يجعل خادم النموذج متاحًا على كل واجهات الشبكة، لا على الجهاز المحلي وحده، بينما لا تتطلب واجهة Ollama أي مصادقة. وثانيها أسلوب يُعرف بـ DNS rebinding، يجعل نطاق المهاجم يشير إلى الجهاز المحلي بعد الطلب الأول، فيصبح الـ JavaScript في تبويب المتصفح قادرًا على مخاطبة النموذج الذي يعمل على الجهاز.
أما العنصر الثالث فهو الأخطر. إذ يمكن عبر هذا الطريق تعديل الـ chat template، وهو الطبقة التي تحوّل المحادثة إلى النص الذي يقرؤه النموذج فعلًا. وبحسب الباحثين، يمكن زرع تعليمات مخفية فيه، كأن يُطلب من العميل كتابة كود يحتوي على ثغرات، أو إرسال محتوى العمل إلى جهة خارجية.
وما يميز هذه الثغرة أن التعليمات لا تبقى في تبويب أو جلسة. فهي تستقر داخل إعداد النموذج نفسه، ولا يزيلها إغلاق الأداة، ولا مسح المحادثات، ولا إعادة تشغيل الجهاز.
وصدر الإصلاح في الإصدار v0.0.35 على macOS وLinux. أما على Windows وWSL فلا يوجد إصلاح حتى الآن، والمتاح هو تحذير فقط. وتشير الوثائق إلى أن القيمة الآمنة لعنوان الخادم هي الجهاز المحلي، وأن الوصول من جهاز آخر يمر عبر proxy يفرض المصادقة.
ويكشف ذلك افتراضًا شائعًا لدى من يشغّل النماذج محليًا لحماية الكود من الخروج إلى السحابة. فالخدمة السحابية تقف أمامها طبقة تصاريح، بينما قد يخلو الجهاز المحلي منها، ويصبح المتصفح المفتوح إلى جوار النموذج أقرب نقطة إليه.