NEAR AI confirmó una falla en SGLang que abrió su infraestructura el 8 de noviembre: un atacante ejecutó código en un servidor de inferencia, descargó datos de unas 100 cuentas y alcanzó 18 agentes antiguos.
El dato incómodo está en el modo afectado. NEAR AI vende inferencia confidencial, con las solicitudes procesadas dentro de entornos protegidos por hardware, llamados TEE. El atacante pudo observar solicitudes en curso de ese servidor, incluidas las que corrían en modo confidencial.
NEAR AI publicó su informe de incidente el 9 de noviembre y lo amplió el 10. The Block recogió el mismo alcance en su cobertura del caso: correos, nombres y, en algunas cuentas, el plan y el saldo. NEAR Protocol, la cadena de bloques del ecosistema, quedó fuera del incidente.
Fecha del acceso: 8 de noviembre de 2026.
Cuentas con datos descargados: unas 100.
Agentes alcanzados: 18, en una instalación antigua fuera del entorno TEE.
Claves expuestas en registros: 2 de clientes de NEAR AI Cloud, ya revocadas.
El camino entró por el motor de inferencia
SGLang es un motor de inferencia de código abierto: el programa que recibe las solicitudes y hace correr los modelos en los servidores. La falla permitía ejecución remota de código, la categoría que entrega el control de la máquina a quien la explota.
Desde ese servidor, el atacante llegó a un sistema interno vinculado a Private Chat, una función ya cerrada. NEAR AI informó que no encontró señales de acceso a las conversaciones guardadas de Private Chat ni a los archivos subidos por los usuarios.
Los 18 agentes contaron otra historia. Esa instalación antigua de NEAR AI Agents no corría dentro del entorno confidencial, y de ahí salieron historiales de chat, ajustes y registros de operación. La diferencia entre un sistema protegido y uno olvidado quedó medida en datos reales.
El contraste con otros motores ayuda a ubicar el riesgo. DeepInfer, el motor abierto de DeepSeek, se presentó como pieza de velocidad para servir modelos. Cuando esa capa falla, la exposición no toca una página: toca las solicitudes mismas que los clientes creían privadas.
SGLang ya cargaba historial. El centro de coordinación CERT documentó en marzo de 2026 dos fallas de deserialización insegura en ese proyecto, corregidas en la versión 0.5.10, y el 30 de julio registró seis fallas más, con ejecución remota de código y extracción de pesos de modelos entre ellas.
NEAR AI lo dijo con una frase seca en su informe: la computación confidencial protege los datos frente al operador y frente al anfitrión, pero no protege frente a una falla del programa que corre dentro del entorno. El candado aguantó; el programa de adentro, no.
La respuesta cerró sesiones, claves y el chat cerrado
Al detectar el acceso, la empresa revocó todas las sesiones activas y las credenciales administrativas, cambió los tokens de los agentes y dejó fuera de línea a Private Chat. La corrección de SGLang se instaló en todos los servidores de inferencia.
La revisión forense quedó completa y la rotación del resto de credenciales también. NEAR AI Cloud volvió a operar tras la pausa de la investigación, y la empresa reportó la falla al proyecto SGLang para que otros operadores del mismo motor revisen su instalación.
Los usuarios afectados recibieron un correo directo desde la dirección de seguridad de la compañía, con los pasos de cada caso. Los dueños de los 18 agentes recibieron contacto individual. Para quien no recibió aviso, la instrucción publicada es tratar con cautela cualquier mensaje raro que mencione su cuenta o su saldo.
Ese último punto importa fuera de NEAR. Una lista con correos, nombres y saldos parciales sirve para armar mensajes de suplantación creíbles: un aviso falso de cobro o de cierre de cuenta, con el plan correcto en el texto, engaña mejor que un correo genérico.
NEAR AI añadió un cambio de criterio: el programa de inferencia y los servicios que rodean al enclave recibirán el mismo nivel de revisión de seguridad que el enclave mismo. El código, las dependencias y las configuraciones de su pila de inferencia confidencial se mantienen públicos para verificación externa.
Para un negocio hispano que manda documentos a un servicio de inferencia en la nube, la lección práctica es concreta: el sello de confidencial cubre la máquina, pero la privacidad real depende también del programa que procesa cada solicitud dentro de esa máquina.
La empresa informó que hará las notificaciones regulatorias que correspondan, sin fijar fechas en el informe. Ese trámite dirá si algún regulador pide medidas extra, y su resultado queda como dato público pendiente para los clientes empresariales del servicio.
Queda un hueco que el informe no cierra. La empresa no publicó el identificador técnico de la falla de SGLang ni la versión exacta corregida, un dato que otros operadores de ese motor necesitan para saber si su instalación comparte el mismo riesgo esta misma semana.
Fuente: NEAR AI
