Ondsinnet nettside kan forgifte chat-malen i lokal Ollama via NemoClaw

«Sandkassing beskytter endepunktet, men å ta over agenten er å ta over agentens tilganger og verktøy», skriver Oasis Security i rapporten selskapet delte med The Hacker News. Funnet gjelder NVIDIA NemoClaw, NVIDIAs åpne referansestack for å kjøre agenter som OpenClaw inne i OpenShell-sandkasser, med Ollama som lokal inferensmotor.

Kjeden starter med at NemoClaw setter OLLAMA_HOST til 0.0.0.0:11434 på Windows-verten, slik at containere i Docker Desktop når daemonen. API-et på port 11434 har ingen autentisering og støtter seg på to mellomlag for å stoppe forespørsler fra nettlesere. Begge svikter samtidig: når bindingsadressen ikke er loopback, hoppes Host-sjekken helt over, og CORS-laget leser forespørselen som samme opphav fordi Origin og Host begge bærer angriperens domene. DNS-rebinding tetter resten ved at domenet først peker på angriperens server og deretter på 127.0.0.1. Elad Luz, forskningssjef i Oasis Security, sier hele kjeden ble testet på macOS med Firefox.

«Ollama hopper over den valideringen når den er bundet til en adresse som ikke er loopback, og 0.0.0.0 er nøyaktig slik NemoClaw setter det opp» — Elad Luz, forskningssjef i Oasis Security

Selve nyttelasten skriver en endret Go-mal gjennom endepunktet for modelloppretting. Malen styrer hvordan meldingslista gjøres om til rå tekst før modellen ser den, og den forgiftede versjonen legger angriperens tekst til hver eneste systemmelding ved inferens. Instruksene overlever nye samtaler og overstyres ikke av at agenten sender sin egen systemprompt. Klienten kan ikke oppdage det, fordi malen er en egenskap ved modellen og usynlig for den som kaller API-et.

Luz oppgir at NemoClaw v0.0.35 retter dette på macOS og Linux. På Windows og WSL finnes ingen fiks; v0.0.34 la inn en Windows-installasjon med en advarsel i stedet. Funnet har ikke fått noen CVE, og ingen utnyttelse var rapportert per 25. august 2026. The Hacker News gikk gjennom kodebasen samme dag og fant ingen integritetssjekk av chat-malen noe sted.

Hva bør du gjøre?

1. Sjekk hva Ollama-daemonen din er bundet til. Står OLLAMA_HOST på 0.0.0.0, er det uautentiserte API-et på 11434 tilgjengelig for alt som kan nå maskinen, inkludert nettleseren du sitter i.
2. Oppgrader NemoClaw til minst v0.0.35 på macOS og Linux. Kjører du Windows-installasjonen eller WSL-stien, må du sette bindingen til 127.0.0.1:11434 selv.
3. Behandle chat-malen som del av angrepsflaten. En endret mal ser normal ut fra klientsiden, så hent modellen på nytt hvis du har grunn til å tro at noe er skrevet til den.