Celah NemoClaw Bikin Hacker Bisa Susupi Model AI Lokal

Oasis Security mengungkap celah keamanan pada NVIDIA NemoClaw yang dapat dimanfaatkan halaman web berbahaya untuk mengambil alih layanan Ollama lokal tanpa autentikasi. Celah ini bahkan memungkinkan penyerang menyisipkan instruksi tersembunyi ke dalam model AI sehingga perintah tersebut dapat terus berjalan pada percakapan berikutnya.

Temuan tersebut telah dilaporkan kepada NVIDIA Product Security Incident Response Team (PSIRT) sebelum dipublikasikan. Hingga 25 Agustus 2026, celah ini belum memiliki nomor CVE dan belum ada laporan eksploitasi di dunia nyata.

Kepala Riset Oasis Security, Elad Luz, mengatakan NemoClaw versi 0.0.35 telah memperbaiki masalah pada macOS dan Linux. Namun, perbaikan belum tersedia untuk Windows dan jalur WSL (Windows Subsystem for Linux).

Celah Berawal dari Konfigurasi Ollama

NemoClaw merupakan open-source reference stack NVIDIA untuk menjalankan agen AI, seperti OpenClaw, di dalam sandbox OpenShell. Salah satu backend inferensi lokal yang didukung adalah Ollama, yang digunakan untuk menjalankan model AI di komputer pengguna.

Menurut Oasis Security, masalah muncul ketika NemoClaw mengonfigurasi Ollama menggunakan OLLAMA_HOST=0.0.0.0:11434. Pengaturan ini membuat layanan Ollama menerima koneksi melalui seluruh antarmuka jaringan.

Pada konfigurasi Windows, port 11434 juga tidak membutuhkan autentikasi. Kondisi tersebut dapat membuka peluang bagi halaman web berbahaya untuk berkomunikasi dengan API Ollama yang berjalan secara lokal.

Penyerang kemudian dapat memanfaatkan API tersebut untuk mengubah chat template model. Chat template menentukan bagaimana pesan percakapan disusun sebelum diberikan kepada model AI.

Serangan Memanfaatkan DNS Rebinding

Salah satu teknik yang digunakan adalah DNS rebinding. Dalam skenario ini, domain milik penyerang awalnya mengarah ke server mereka sendiri. Setelah browser mengakses domain tersebut, alamat DNS dapat diubah agar mengarah ke 127.0.0.1, yaitu komputer lokal korban.

Browser tetap menganggap permintaan berasal dari domain yang sama. Akibatnya, halaman web penyerang dapat berkomunikasi dengan layanan lokal yang berjalan di komputer korban.

Luz mengatakan rangkaian serangan tersebut telah diuji pada macOS menggunakan Firefox dan versi NemoClaw yang rentan.

Masalah serupa sebenarnya pernah ditemukan pada Ollama. Pada Maret 2024, Ollama memperbaiki kerentanan DNS rebinding melalui versi 0.1.29. Kasus tersebut kemudian diterbitkan NCC Group sebagai CVE-2024-28224.

Namun, menurut Luz, validasi Host header pada Ollama dilewati ketika layanan menggunakan alamat non-loopback. Konfigurasi 0.0.0.0  yang digunakan NemoClaw menjadi faktor penting dalam serangan ini.

Model AI Dapat "Diracuni"

Setelah API Ollama dapat dijangkau, penyerang dapat menggunakan endpoint /api/create  untuk membuat chat template yang telah dimodifikasi.

Template tersebut dapat memasukkan teks buatan penyerang ke setiap system message ketika model memproses permintaan. Dengan cara ini, instruksi berbahaya tidak hanya memengaruhi satu percakapan, tetapi dapat bertahan dan diterapkan pada percakapan berikutnya.

Oasis Security menyebut perubahan tersebut sulit dideteksi pengguna karena chat template merupakan properti pada level model yang tidak terlihat oleh konsumen API.

Dengan kata lain, model dapat tampak normal dari sisi pengguna, tetapi sebenarnya telah memiliki instruksi tersembunyi yang akan dijalankan ketika model digunakan.

Perlindungan Baru Belum Menutup Semua Jalur

Pemeriksaan terhadap repositori NemoClaw pada 25 Agustus menemukan bahwa local Ollama proxy kini menolak berjalan jika backend Ollama tidak menggunakan alamat loopback. Pemeriksaan ini diperkenalkan secara default pada versi 0.0.106.

Meski demikian, perlindungan tersebut tidak mencakup seluruh jalur WSL, termasuk konfigurasi Windows yang menggunakan 0.0.0.0. Pemeriksaan juga dapat dinonaktifkan, meski NemoClaw tidak merekomendasikan langkah tersebut.

Selain itu, Oasis Security tidak menemukan mekanisme yang memeriksa integritas chat template. NemoClaw hanya menggunakan endpoint /api/show untuk memperoleh informasi seperti panjang konteks model dan kemampuan tool calling.

NVIDIA sendiri telah memperingatkan pengguna Windows agar tidak mengekspos port 11434 ke LAN atau internet. Namun, serangan DNS rebinding tidak membutuhkan akses jaringan langsung ke komputer korban. Browser korban dapat menjadi perantara untuk mengakses layanan lokal.

Kasus ini menunjukkan bahwa menjalankan AI secara lokal atau di dalam sandbox tidak otomatis membuatnya aman. Server model, API lokal, konfigurasi jaringan, hingga chat template tetap dapat menjadi titik serangan.

Teknik poisoned chat template juga bukan metode baru. Oasis Security sebelumnya menemukan pendekatan serupa pada Paperclip dan menggunakan jalur browser menuju layanan localhost untuk mengambil alih agen OpenClaw lokal.

Bagi pengguna NemoClaw, memperbarui perangkat lunak ke versi yang telah diperbaiki pada platform yang didukung menjadi langkah penting. Pengguna juga perlu berhati-hati terhadap konfigurasi yang membuat layanan Ollama terbuka pada antarmuka jaringan yang lebih luas dari yang diperlukan.