Eine fehlerhafte Webseite könnte Ihr lokales KI-Modell stillschweigend umschreiben

Sicherheitsforscher von Oasis Security haben diese Woche einen Fehler in NemoClaw, Nvidias Tool zum Ausführen eines KI-Coding-Agenten auf Ihrem eigenen Computer, offengelegt. Der als CVE-2026-65105 verfolgte Fehler bedeutete, dass der einfache Besuch einer mit Sprengfallen versehenen Webseite für einen Angreifer ausreichen konnte, um versteckte Anweisungen in das auf Ihrem Computer ausgeführte KI-Modell einzuschleusen, ohne dass ein Passwort, ein Download oder eine Phishing-E-Mail erforderlich war.

Hier ist die Kette. Damit sein Docker-Container mit dem Modell kommunizieren kann, startet NemoClaw Ollama, das beliebte Tool zum lokalen Ausführen von KI-Modellen, mit der Einstellung „OLLAMA_HOST=0.0.0.0:11434“. Dadurch wird Ollama angewiesen, jede Netzwerkschnittstelle abzuhören und nicht nur die Maschine selbst, und Ollama überspringt eine Sicherheitsprüfung eingehender Anfragen, wenn sie auf diese Weise gebunden ist. Ein Angreifer verwendet dann eine Technik namens DNS-Rebinding, bei der eine von ihm kontrollierte Website kurzzeitig ihre eigene Adresse auf Ihren Computer verweist, sodass Ihr Browser Anfragen an Ihr lokales Ollama so behandelt, als kämen sie von dieser Website. Von dort aus kann der Angreifer Ollamas „/api/create“-Endpunkt aufrufen und die Chat-Vorlage des Modells neu schreiben, den kleinen Textabschnitt, der jede Konversation umschließt, bevor das Modell sie liest. Alles, was dort hinzugefügt wird, wird von da an stillschweigend an jede Systemmeldung angehängt, übersteht Neustarts und ist für die App, die das Modell aufruft, unsichtbar. NemoClaw v0.0.35 hat dieses Problem auf macOS und Linux behoben. Unter Windows und WSL gibt es immer noch keine Lösung, sondern nur eine Warnung zum Installationsprogramm.

Was hier eigentlich vor sich geht: Das lokale Ausführen von KI-Modellen ist wirklich gut für den Datenschutz, aber es verwandelt Ihren Laptop im Stillen in einen kleinen Server, und Server benötigen die gleiche Pflege wie jeder andere Server. Ollamas Standardeinstellung ist sicher: Es hört nur auf Ihren eigenen Computer. Der Schaden hier entstand durch ein Tool, das diese Standardeinstellung aus Bequemlichkeitsgründen außer Kraft setzte, was eines der ältesten Sicherheitsmuster darstellt. Das Detail der Chat-Vorlage macht diesen Einbruch schlimmer als einen gewöhnlichen Einbruch. Der Angreifer stiehlt nicht Ihre Daten und geht weg, er verändert das Verhalten des Modells dauerhaft und außer Sichtweite, so dass ein Programmieragent angewiesen werden könnte, eine Hintertür in den Code einzubauen, den er für Sie schreibt, und jede Antwort immer noch normal aussehen würde.

Was das für Sie bedeutet: Wenn Sie Ollama oder NemoClaw noch nie installiert haben, betrifft Sie das nicht. Wenn Sie Ollama ausführen, prüfen Sie, ob „OLLAMA_HOST“ durch irgendetwas auf „0.0.0.0“ gesetzt wurde. Es sollte „127.0.0.1“ lauten, was „nur diese Maschine“ bedeutet. NemoClaw-Benutzer unter macOS oder Linux sollten auf v0.0.35 oder höher aktualisieren. Unter Windows oder WSL gibt es noch keine gepatchte Version. Der ehrliche Rat ist daher, die Ausführung auf einem Computer, der Ihnen wichtig ist, zu vermeiden, bis es eine gibt. Allgemeiner gesagt ist dies eine gute Angewohnheit, frühzeitig zu entwickeln: Lokale KI-Tools verdienen die gleiche Skepsis, die Sie jedem anderen Programm entgegenbringen würden, das einen Netzwerkport öffnet, und ein neuer Modell-Pull ist der schnellste Weg, eine manipulierte Vorlage rückgängig zu machen.

Quellen

• Eine bösartige Webseite könnte Ihr lokales KI-Modell hinter NVIDIA NemoClaw vergiften (The Hacker News)
• Nvidia NemoClaw-Fehler ermöglicht es Angreifern, das Modell hinter dem KI-Agenten eines Entwicklers zu vergiften (SiliconANGLE)
• Sicherheitsforscher von Oasis enthüllen Sicherheitslücke im KI-Agenten NemoClaw (Security Boulevard)