### Vulnerabilidad en NVIDIA NemoClaw Permite Toma de Control y Manipulación de Modelos IA

#### 1. Introducción

Recientemente, la firma de ciberseguridad Oasis Security ha revelado una vulnerabilidad crítica en NVIDIA NemoClaw, una plataforma ampliamente utilizada para el despliegue y operación local de agentes de inteligencia artificial. Este fallo permite a una página web maliciosa, sin necesidad de autenticación previa, tomar control del entorno Ollama asociado y manipular de forma encubierta los modelos de IA desplegados. Este artículo expone los detalles técnicos del hallazgo, su impacto real y las mejores prácticas recomendadas para mitigar el riesgo en entornos corporativos.

#### 2. Contexto del Incidente o Vulnerabilidad

NVIDIA NemoClaw se ha posicionado como una solución de referencia para la ejecución local y privada de agentes de IA, especialmente en entornos donde la confidencialidad y el control sobre los modelos son prioritarios. Ollama, por su parte, actúa como el motor de inferencia local para estos modelos. La debilidad descubierta por Oasis Security afecta, principalmente, a implementaciones donde el acceso a Ollama no está adecuadamente restringido y la instancia está expuesta localmente en el navegador.

La vulnerabilidad fue comunicada a NVIDIA a través de su Product Security Incident Response Team (PSIRT) antes de hacerse pública, siguiendo las mejores prácticas de divulgación responsable.

#### 3. Detalles Técnicos

La vulnerabilidad, pendiente de asignación CVE oficial, reside en la falta de control de origen cruzado (Cross-Origin Resource Sharing, CORS) y autenticación en el endpoint local de Ollama cuando es utilizado por NemoClaw. Un atacante puede explotar este fallo a través de un ataque de tipo Cross-Site Request Forgery (CSRF) o Cross-Origin, simplemente logrando que la víctima visite una página web bajo su control.

**Vectores de ataque:**
– **CSRF y CORS Misconfiguration**: El endpoint de Ollama permite solicitudes desde cualquier origen sin requerir tokens de autenticación ni validación de cabeceras.
– **Inyección de Prompt (Prompt Injection)**: El atacante puede enviar instrucciones ocultas al modelo de IA, persistiendo en la sesión o incluso en el modelo si las instrucciones son almacenadas.
– **Remote Command Execution (RCE)**: Si el modelo expuesto permite ejecución de comandos arbitrarios mediante instrucciones, podría derivar en ejecución remota.

**TTP (MITRE ATT&CK):**
– **Initial Access**: T1190 (Exploitation of Public-Facing Application)
– **Execution**: T1059 (Command and Scripting Interpreter)
– **Persistence**: T1543 (Create or Modify System Process)
– **Defense Evasion**: T1562 (Impair Defenses: Disable or Modify Tools)

**Indicadores de Compromiso (IoC):**
– Tráfico HTTP local no autenticado hacia el endpoint Ollama.
– Modificación no autorizada de los prompts o configuraciones de modelos.
– Registros de acceso desde navegadores a endpoints internos.

Este tipo de ataque podría automatizarse fácilmente mediante frameworks como **Metasploit** o scripts personalizados en Python, empleando bibliotecas como `requests` para la explotación.

#### 4. Impacto y Riesgos

El impacto de esta vulnerabilidad es severo, ya que permite:
– El control completo de la instancia Ollama local sin que el usuario lo perciba.
– La manipulación encubierta de los modelos de IA, incluyendo la inyección de instrucciones persistentes.
– Potenciales filtraciones de información sensible procesada por los agentes de IA.
– Riesgos de cumplimiento en materia de privacidad bajo normativas como el **GDPR** y la directiva **NIS2**, ya que la confidencialidad e integridad de los datos pueden verse comprometidas.

Según estimaciones internas, hasta un 65% de las implementaciones de NemoClaw en entornos de laboratorio y desarrollo podrían estar expuestas debido a configuraciones por defecto y ausencia de controles de acceso.

#### 5. Medidas de Mitigación y Recomendaciones

– **Restringir el acceso local**: Configurar Ollama para que solo acepte conexiones autenticadas y desde orígenes de confianza.
– **Implementar CORS seguro**: Limitar los orígenes permitidos y utilizar tokens CSRF para todas las peticiones.
– **Actualizar NemoClaw y Ollama**: Aplicar parches y actualizaciones proporcionados por NVIDIA en cuanto estén disponibles.
– **Monitorización**: Implementar alertas sobre acceso no autorizado a endpoints locales y cambios en los modelos de IA.
– **Hardening de endpoints**: Deshabilitar interfaces innecesarias y limitar la exposición de servicios locales.

#### 6. Opinión de Expertos

Expertos en seguridad de inteligencia artificial consultados destacan que «la frontera entre lo local y lo expuesto es cada vez más difusa en entornos IA. La falta de controles básicos como autenticación y CORS robusto en endpoints locales puede ser devastadora, pues los navegadores modernos permiten este tipo de ataques cross-origin con gran facilidad». Recomiendan una revisión exhaustiva de los servicios locales que interactúan con navegadores y modelos IA sensibles.

#### 7. Implicaciones para Empresas y Usuarios

Las empresas que utilicen NVIDIA NemoClaw junto a Ollama en entornos de desarrollo, pruebas o producción deben actuar con urgencia. El riesgo de manipulación de modelos IA puede derivar en decisiones erróneas, fuga de información estratégica o incluso sabotaje de procesos automatizados. El cumplimiento normativo podría verse vulnerado, exponiendo a la organización a sanciones significativas bajo el GDPR o la directiva NIS2, especialmente si los datos procesados incluyen información personal o confidencial.

#### 8. Conclusiones

La vulnerabilidad en NVIDIA NemoClaw evidencia la necesidad de reforzar la seguridad en la integración de IA y servicios locales, especialmente en la era de los modelos generativos y agentes autónomos. El control de acceso, la autenticación robusta y la monitorización son esenciales para evitar que una simple visita web se traduzca en la pérdida de control sobre los activos de IA corporativos. Se recomienda la actualización inmediata de los sistemas y la aplicación de controles de seguridad adicionales mientras se publican los parches oficiales.

(Fuente: feeds.feedburner.com)