SlowMist: غلط تشکیل شدہ Clawdbot سرورز API کیز، چیٹ لاگز اور نجی کلیدیں افشاء کر رہے ہیں

SlowMist اور آزاد محققین نے پایا کہ غلط ترتیب دیے گئے Clawdbot کنٹرول گیٹ ویز اور رِورس پراکسیز کی وجہ سے ڈیش بورڈز انٹرنیٹ اسکینرز (مثلاً Shodan) کے ذریعے دریافت ہو سکتے ہیں اور بغیر لاگ ان کے قابلِ رسائی رہ سکتے ہیں۔ کھلے ہوئے انسٹینس نجی چیٹ ہسٹری، سینکڑوں API کیز، بوٹ ٹوکنز، OAuth اور سائننگ کیز لیک کر سکتے ہیں اور حملہ آوروں کو صارف کی حیثیت سے پیغامات بھیجنے یا کمانڈز چلانے کی اجازت دے سکتے ہیں۔ مزید ٹیسٹوں میں ظاہر ہوا کہ پرامپٹ-انجکشن حملے چند منٹوں میں کھلے ہوئے انسٹینسز سے نجی کرپٹو کیز نکال سکتے ہیں۔ Clawdbot کو وسیع سسٹم رسائی حاصل ہے (فائلیں پڑھ/لکھنا، کمانڈز چلانا، براؤزر کنٹرول کرنا)، جو کریڈینشل چوری اور ریموٹ کوڈ ایکزیکیوشن کے خطرات بڑھاتا ہے۔ مالکان کو ہدایت کی جاتی ہے کہ پراکسی اور گیٹ وے کنفیگریشنز کا آڈٹ کریں، اوپن پورٹس کو IP وائٹ لسٹ کے ساتھ محدود کریں، اور ڈیٹا چوری اور غیر مجاز رسائی روکنے کے لیے عوامی طور پر ایکسپوزڈ کنٹرول ڈیش بورڈز تلاش کریں۔ کرپٹو ٹریڈرز کے لیے یہ والٹس، کسٹوڈیئل سروسز اور مقامی AI ایجنٹس استعمال کرنے والی ایکیگریشنز کے لیے ایک مادی آپریشنل سکیورٹی رسک ہے؛ والٹ یا انفراسٹرکچر تک رسائی رکھنے والی کسی بھی AI انٹیگریشن کا فوری آڈٹ تجویز کیا جاتا ہے۔