Eine Sicherheitslücke in NVIDIAs Open-Source-Referenzstack NemoClaw erlaubt es Angreifern, über eine manipulierte Webseite die Kontrolle über eine lokale Ollamaa-Instanz zu übernehmen und dem KI-Modell versteckte Anweisungen einzuschleusen. Die Schwachstelle wurde von Oasis Security aufgedeckt und betrifft die Art und Weise, wie NemoClaw den lokalen Inferenz-Backend-Dienst Ollama startet.
Die Angriffsstrategie: Von der Webseite ins neuronale Netz
Die Kernproblematik liegt in der Netzwerkkonfiguration. NemoClaw startet Ollama standardmäßig auf dem Windows-Host-Pfad mit dem Befehl OLLAMA_HOST=0.0.0.0:11434codecodecodecode. Dadurch wird der Modellserver an jedes verfügbare Netzwerkinterface gebunden, nicht nur an die lokale Schleife (127.0.0.1). Diese API auf Port 11434 ist zudem gänzlich ohne Authentifizierung erreichbar. Zwar sind zwei Middleware-Schichten vorgesehen, um Anfragen aus Browsern zu blockieren, doch diese versagen im entscheidenden Moment: Die Host-Header-Prüfung wird bei einer Bindung an eine Nicht-Loopback-Adresse komplett übersprungen, und die Cross-Origin-Resource-Sharing-Prüfung (CORS) behandelt die Anfrage als gleichartig, wenn der Ursprung (Origin) und der Host-Header vom Angreifer kontrolliert werden können.
Das Ausnutzen dieser Konstellation erfolgt über DNS-Rebinding. Dabei wird die Domain des Angreifers zunächst auf dessen eigenen Server aufgelöst, anschließend aber auf
127.0.0.1umgeleitet. Da der Browser die Anfrage weiterhin als gleichartig (Same-Origin) behandelt, kann ein skrupelloser Webseitenbetreiber die ungeschützte Ollama-API erreichen.
blockquoteblockquoteblockquoteblockquote
Der Weg zur Modellvergiftung
Ist die API erst einmal erreichbar, pflanzt der Angreifer eine modifizierte Go- Chat-Vorlage über den Befehl /api/createcodecodecodecode in das Modell. Diese Vorlage steuert, wie strukturierte Nachrichten in Rohtext umgewandelt werden, bevor das Modell sie verarbeitet. Eine vergiftete Version fügt bei jeder Inferenz dem System-Prompt versteckte Anweisungen hinzu.
Diese eingeschleusten Instruktionen bleiben über mehrere Konversationen hinweg bestehen und überstehen sogar den Austausch des eigentlichen System-Prompts durch den Agenten. Die Angreifer haben damit eine dauerhafte Hintertür im Modell selbst installiert, die für den Client nicht erkennbar ist. Wie Oasis Security betont: Die Vorlage ist eine Eigenschaft auf Modellebene und für API-Nutzer unsichtbar. Die Sandbox schützt das Endgerät, aber die Übernahme des Agenten bedeutet die Kontrolle über dessen Zugriffe und Werkzeuge.
Plattformabhängige Unterschiede und fehlende Schutzmechanismen
NemoClaw handelt die Ollama-Konfiguration je nach Betriebssystem und Umgebung unterschiedlich. Diese Fragmentierung ist eine der Hauptursachen für die Sicherheitslücke.
- Nicht-WSL-Hosts (Linux/macOS): Hier bindet NemoClaw Ollama korrekt an
127.0.0.1:11434codecodecodecode und legt einen token-geschützten Reverse-Proxy auf0.0.0.0:11435codecodecodecode. Der Onboarding-Prozess startet einen bereits laufenden Daemon neu und bindet ihn an die lokale Schleife. - Docker Desktop auf WSL: Der Proxy entfällt, da der Container die Loopback-Adresse des Hosts über
host.docker.internalcodecodecodecode erreicht. Die Konfiguration setzt ebenfalls auf die Loopback-Bindung. - Windows-Host-Pfad: Hier wird die kritische Bindung
OLLAMA_HOST=0.0.0.0:11434codecodecodecode gesetzt, damit Docker-Desktop-Container den Daemon erreichen. Dieser Pfad erfordert keine Authentifizierung auf Port 11434 und ist der Hauptangriffspunkt.
Die Analyse des NemoClaw-Repositorys vom 25. August zeigt, dass eine im August 2026 eingeführte Prüfung (v0.0.106) zwar den Start des Proxys verweigert, wenn der Backend nicht an die Loopback-Adresse gebunden ist. Diese Prüfung greift jedoch nicht auf dem Windows-Pfad, auf dem der Proxy gar nicht gestartet wird. Zudem existiert im gesamten Repository keinerlei Integritätsprüfung für die Chat-Vorlage des Modells.
Eine altbekannte Schwachstelle in neuem Gewand
Der Angriff auf die Chat-Vorlage wurde bereits in anderen Kontexten dokumentiert. Oasis Security hatte die gleiche Technik erst kürzlich gegen das Paperclip-System eingesetzt und im Februar eine vergleichbare Browser-zu-Lokalhost-Methode genutzt, um lokale OpenClaw-Agenten zu kapern. Auch der DNS-Rebinding-Angriff auf die Ollama-API selbst ist kein neues Phänomen. Bereits im März 2024 hatte Ollama in Version 0.1.29 eine Validierung des Host-Headers eingeführt, die von der NCC Group als CVE-2024-28224 dokumentiert wurde.
Die Ironie der aktuellen Situation ist, dass Ollama diese Host-Header-Validierung überspringt, sobald der Dienst an eine Nicht-Loopback-Adresse gebunden ist. Genau diese Konfiguration setzt NemoClaw aber auf dem Windows-Pfad. Der Fix für die alte Schwachstelle wird damit in dieser spezifischen Konstellation unwirksam.
blockquoteblockquoteblockquoteblockquote
Wirkung und Minderungsstrategien
Die Version NemoClaw v0.0.35 hat die Schwachstelle für macOS und Linux behoben. Für Windows und WSL existiert bislang kein Fix; die Version v0.0.34 enthält für den Windows-Pfad lediglich eine Warnung. NVIDIAs Dokumentation weist Betreiber an, Port 11434 nicht im lokalen Netzwerk oder Internet freizugeben. Diese Maßnahme adressiert jedoch nur den Zugriff von außen. Die eigentliche Gefahr geht von der manipulierten Webseite aus, die den Browser auf demselben Rechner dazu bringt, die lokale API über die Loopback-Adresse zu erreichen.
Der vollständige Angriffsweg wurde auf macOS mit Firefox gegen eine verwundbare NemoClaw-Version erfolgreich getestet. Eine Überprüfung der Vorfälle auf dem Windows-Pfad und die Implementierung einer serverseitigen Validierung des Host-Headers, die nur autorisierte Werte zulässt, wären die logische Konsequenz. Die Schwachstelle zeigt exemplarisch, wie eine Kombination aus plattformabhängiger Konfiguration und der Aufhebung bewährter Sicherheitsmechanismen zu einem schwerwiegenden Sicherheitsproblem führen kann, das die Integrität lokaler KI-Modelle bedroht.
