NEAR AI revela una filtración por una vulnerabilidad sin parchear en el motor SGLang

NEAR AI publicó el 9 de noviembre de 2026 un informe de incidente de seguridad en el que revela que un atacante explotó una vulnerabilidad de ejecución remota de código (RCE) sin parchear en SGLang, el motor de inferencia de código abierto detrás de sus productos Cloud y Agents, el 8 de noviembre de 2026. La filtración expuso datos de unos 100 usuarios y 18 agentes antiguos antes de que NEAR AI restableciera el acceso el 10 de noviembre de 2026, según el Informe de incidente de seguridad: vulnerabilidad de SGLang.

Qué ocurrió

• Un atacante explotó una vulnerabilidad RCE sin parchear en SGLang, el motor de inferencia que usa NEAR AI, el 8 de noviembre de 2026.
• El atacante accedió al sistema interno detrás de la función Private Chat, ya descontinuada en NEAR AI.
• Se accedió a 18 agentes del despliegue heredado de Agents en NEAR AI, que no usa computación confidencial.
• Unos 100 usuarios tuvieron expuestos su correo, nombre y datos del plan o saldo de la cuenta.
• A los propietarios de agentes afectados se les expuso el historial de chat, la configuración y los registros.
• Las claves de API de dos clientes de Cloud quedaron expuestas en los registros y desde entonces fueron revocadas.

Qué significa para quienes construyen con IA

SGLang es un motor de código abierto muy utilizado para ejecutar inferencia de modelos de lenguaje grandes, y NEAR AI depende de él para sus productos Cloud y Agents. Una vulnerabilidad de ejecución remota de código sin parchear en ese motor, que derivó en una filtración real en un proveedor de IA en producción, es una advertencia concreta para quienes alojan por su cuenta o evalúan pilas de inferencia basadas en SGLang, ya que el componente vulnerable forma parte de una infraestructura que muchos otros también usan directamente.

Remediación y estado actual

• NEAR AI revocó todas las sesiones activas y las credenciales de administrador, y reemplazó todos los tokens de los agentes.
• La función Private Chat, ya descontinuada, se desconectó, y SGLang se parcheó en todos los servidores.
• El acceso a NEAR AI Cloud se restableció el 10 de noviembre de 2026, mientras que Private Chat sigue fuera de línea.
• NEAR AI afirmó que el protocolo blockchain de NEAR en sí no se vio afectado.

Fuentes

• Security Incident Report: SGLang Vulnerability (NEAR AI, 9 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.