{"id":49996,"date":"2026-08-26T08:22:27","date_gmt":"2026-08-26T06:22:27","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=49996"},"modified":"2026-08-26T08:22:27","modified_gmt":"2026-08-26T06:22:27","slug":"nemoclaw-sicherheitsluecke-ki-modell-vergiftung-49996","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/nemoclaw-sicherheitsluecke-ki-modell-vergiftung-49996\/","title":{"rendered":"NVIDIA NemoClaw: B\u00f6sartige Webseite vergiftet lokales KI-Modell"},"content":{"rendered":"

Eine Sicherheitsl\u00fccke in NVIDIAs Open-Source-Referenzstack NemoClaw erlaubt es Angreifern, \u00fcber eine manipulierte Webseite die Kontrolle \u00fcber eine lokale Ollama<\/a>a-Instanz zu \u00fcbernehmen und dem KI-Modell versteckte Anweisungen einzuschleusen. Die Schwachstelle wurde von Oasis Security<\/a> aufgedeckt und betrifft die Art und Weise, wie NemoClaw den lokalen Inferenz-Backend-Dienst Ollama startet.<\/p>\n

Die Angriffsstrategie: Von der Webseite ins neuronale Netz<\/h2>\n

Die Kernproblematik liegt in der Netzwerkkonfiguration. NemoClaw startet Ollama standardm\u00e4\u00dfig auf dem Windows-Host-Pfad mit dem Befehl OLLAMA_HOST=0.0.0.0:11434<\/code>codecodecodecode. Dadurch wird der Modellserver an jedes verf\u00fcgbare Netzwerkinterface gebunden, nicht nur an die lokale Schleife (127.0.0.1). Diese API auf Port 11434 ist zudem g\u00e4nzlich ohne Authentifizierung erreichbar. Zwar sind zwei Middleware-Schichten vorgesehen, um Anfragen aus Browsern zu blockieren, doch diese versagen im entscheidenden Moment: Die Host-Header-Pr\u00fcfung wird bei einer Bindung an eine Nicht-Loopback-Adresse komplett \u00fcbersprungen, und die Cross-Origin-Resource-Sharing-Pr\u00fcfung (CORS) behandelt die Anfrage als gleichartig, wenn der Ursprung (Origin) und der Host-Header vom Angreifer kontrolliert werden k\u00f6nnen.<\/p>\n

\n

Das Ausnutzen dieser Konstellation erfolgt \u00fcber DNS-Rebinding. Dabei wird die Domain des Angreifers zun\u00e4chst auf dessen eigenen Server aufgel\u00f6st, anschlie\u00dfend aber auf 127.0.0.1<\/code> umgeleitet. Da der Browser die Anfrage weiterhin als gleichartig (Same-Origin) behandelt, kann ein skrupelloser Webseitenbetreiber die ungesch\u00fctzte Ollama-API erreichen.<\/p>\n<\/blockquote>\n

blockquoteblockquoteblockquoteblockquote<\/p>\n

Der Weg zur Modellvergiftung<\/h3>\n

Ist die API erst einmal erreichbar, pflanzt der Angreifer eine modifizierte Go- Chat-Vorlage \u00fcber den Befehl \/api\/create<\/code>codecodecodecode in das Modell. Diese Vorlage steuert, wie strukturierte Nachrichten in Rohtext umgewandelt werden, bevor das Modell sie verarbeitet. Eine vergiftete Version f\u00fcgt bei jeder Inferenz dem System-Prompt versteckte Anweisungen hinzu.<\/p>\n

Diese eingeschleusten Instruktionen bleiben \u00fcber mehrere Konversationen hinweg bestehen und \u00fcberstehen sogar den Austausch des eigentlichen System-Prompts durch den Agenten. Die Angreifer haben damit eine dauerhafte Hintert\u00fcr im Modell selbst installiert, die f\u00fcr den Client nicht erkennbar ist. Wie Oasis Security betont: Die Vorlage ist eine Eigenschaft auf Modellebene und f\u00fcr API-Nutzer unsichtbar. Die Sandbox sch\u00fctzt das Endger\u00e4t, aber die \u00dcbernahme des Agenten bedeutet die Kontrolle \u00fcber dessen Zugriffe und Werkzeuge.<\/p>\n

Plattformabh\u00e4ngige Unterschiede und fehlende Schutzmechanismen<\/h2>\n

NemoClaw handelt die Ollama-Konfiguration je nach Betriebssystem und Umgebung unterschiedlich. Diese Fragmentierung ist eine der Hauptursachen f\u00fcr die Sicherheitsl\u00fccke.<\/p>\n