微軟NLWeb協(xié)議曝高危漏洞 用戶API密鑰險(xiǎn)遭泄露 官方緊急修復(fù)
近日，微軟推出的NLWeb協(xié)議被曝存在嚴(yán)重安全漏洞，可能導(dǎo)致用戶敏感信息泄露，包括系統(tǒng)配置文件及OpenAI、Gemini等AI服務(wù)的API密鑰。這一發(fā)現(xiàn)引發(fā)業(yè)界對(duì)AI技術(shù)安全性的廣泛關(guān)注，同時(shí)也凸顯了企業(yè)在創(chuàng)新與安全之間的平衡難題。
漏洞詳情與風(fēng)險(xiǎn)分析
NLWeb協(xié)議是微軟在今年5月Build大會(huì)上發(fā)布的一項(xiàng)新技術(shù)，旨在為網(wǎng)站和應(yīng)用提供類似ChatGPT的智能搜索功能。然而，安全研究人員Aonan Guan和Lei Wang發(fā)現(xiàn)，該協(xié)議存在一個(gè)經(jīng)典的路徑遍歷漏洞，攻擊者可通過(guò)簡(jiǎn)單的錯(cuò)誤URL訪問(wèn)方式，遠(yuǎn)程讀取服務(wù)器上的敏感文件，例如系統(tǒng)配置文件、.env文件等。
.env文件通常包含應(yīng)用程序的關(guān)鍵配置信息，尤其是AI服務(wù)的API密鑰。研究人員指出，這一漏洞可能導(dǎo)致嚴(yán)重后果：攻擊者不僅能竊取憑證，還可能直接獲取AI模型的調(diào)用權(quán)限，進(jìn)而濫用API或克隆惡意智能體，造成巨大的經(jīng)濟(jì)損失。
微軟的修復(fù)與爭(zhēng)議
漏洞發(fā)現(xiàn)后，研究人員于5月28日向微軟提交報(bào)告。微軟于7月1日發(fā)布了修復(fù)程序，但未為此漏洞分配CVE（通用漏洞披露）編號(hào)，也未發(fā)布正式的安全公告。微軟發(fā)言人Ben Hope回應(yīng)稱，受影響的代碼并未用于任何微軟產(chǎn)品，且開(kāi)源代碼庫(kù)已更新，用戶可通過(guò)獲取最新版本來(lái)修復(fù)漏洞。
然而，研究人員認(rèn)為微軟的應(yīng)對(duì)措施不夠透明。Guan強(qiáng)調(diào)，未修復(fù)的NLWeb部署仍面臨風(fēng)險(xiǎn)，尤其是涉及AI服務(wù)的場(chǎng)景，泄露API密鑰可能導(dǎo)致更嚴(yán)重的連鎖反應(yīng)。
AI安全挑戰(zhàn)加劇
此次事件再次引發(fā)對(duì)AI技術(shù)安全性的討論。隨著AI智能體的普及，API密鑰成為核心資產(chǎn)，一旦泄露，攻擊者可能直接操控AI的決策能力。與此同時(shí)，微軟仍在推進(jìn)Windows對(duì)模型上下文協(xié)議（MCP）的支持，而安全專家已多次警告MCP的潛在風(fēng)險(xiǎn)。
行業(yè)啟示與建議
1. 企業(yè)需平衡創(chuàng)新與安全：微軟此次漏洞表明，快速推出AI功能的同時(shí)，必須確保底層協(xié)議的安全性，避免因追求效率而忽視風(fēng)險(xiǎn)。
2. 漏洞管理應(yīng)更透明：盡管微軟修復(fù)了問(wèn)題，但缺乏CVE編號(hào)可能影響用戶對(duì)漏洞嚴(yán)重性的認(rèn)知。企業(yè)應(yīng)更主動(dòng)地披露安全風(fēng)險(xiǎn)，幫助用戶及時(shí)應(yīng)對(duì)。
3. 開(kāi)發(fā)者需加強(qiáng)防護(hù)：使用NLWeb等新興技術(shù)的開(kāi)發(fā)者應(yīng)盡快更新代碼，并定期檢查服務(wù)器配置，避免敏感文件暴露。
結(jié)語(yǔ)
NLWeb漏洞事件為AI行業(yè)敲響警鐘。在技術(shù)快速迭代的背景下，安全必須成為首要任務(wù)。微軟的修復(fù)雖已實(shí)施，但更完善的漏洞披露機(jī)制和用戶溝通仍有改進(jìn)空間。未來(lái)，如何在創(chuàng)新與安全之間找到平衡，將是所有AI企業(yè)面臨的共同挑戰(zhàn)。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。 ）
