Руководитель отдела кибербезопасности Китая пропустил утечку ключей SSL при выпуске агента ИИ

• Утечка включала в себя приватный ключ домена *.myclaw.360.cn в открытом виде.

• Компания отозвала сертификат, затронутый утечкой, через два дня после его публичного размещения на ее официальном сайте.

360 Security, крупнейшая китайская компания в области кибербезопасности, 16 марта допустила утечку критически важных данных в пакете установки своего нового помощника на основе искусственного интеллекта (ИИ), 360 Safety Lobster.

Специалисты по безопасности обнаружили, что в публично распространяемом установщике был включен, в незашифрованном виде, SSL-сертификат и приватный ключ RSA для домена *.my.claw.360.cn. Эта техническая уязвимость позволяла третьим лицам проводить атаки типа "человек посередине" (Man-in-the-Middle), облегчая перехват зашифрованного трафика и подмену официальных серверов компании.

Утечка произошла в период бурного развития в Китае "Lobster" (Креветки), название, которое используется для обозначения агентов ИИ, основанных на открытом фреймворке OpenClaw. Это помощники, которые позволяют автоматизировать оперативные задачи, выполнять скрипты и управлять API автономно в системе пользователя.

Высокий спрос на эти инструменты привел к ускоренной конкуренции между китайскими технологическими компаниями за предоставление упрощенных установщиков. В условиях быстрых релизов тщательная проверка безопасности была отодвинута на второй план по сравнению со скоростью развертывания.

На скриншоте кода помощника 360 Safety Lobster был отчетливо виден SSL-ключ. Источник: X.

С технической точки зрения, включение приватного ключа в программное обеспечение для массового распространения является серьезной ошибкой конфигурации. Компрометация инфраструктуры открытых ключей (PKI) компании подрывает доверие к коммуникациям затронутого домена.

Для компании, являющейся лидером в области информационной безопасности, наличие учетных данных сервера в производственной среде массового использования свидетельствует о критической ошибке в ее протоколах интеграции и развертывания (CI/CD).

Этот инцидент является частью тревожной тенденции утечек данных в 2026 году, когда раскрытие критических учетных данных поставило под угрозу глобальную инфраструктуру.

Недавний случай, о котором сообщило издание CriptoNoticias, включал в себя утечку учетных данных Binance, полученных с помощью специализированного вредоносного ПО, что подчеркивает, как неправильное управление ключами доступа и сертификатами стало основным вектором атак в цифровых экосистемах, имеющих большое значение.

Отзыв сертификатов и снижение рисков

После сообщения от технического сообщества, компания 360 Security подтвердила, что утечка произошла из-за «оперативной ошибки» во время упаковки программного обеспечения для своего ассистента.

В качестве меры по снижению рисков, компания немедленно отозвала затронутый SSL-сертификат, что технически делает скомпрометированный закрытый ключ недействительным для установления новых безопасных соединений. Благодаря этому, операционные системы и браузеры будут идентифицировать любые попытки подделки как ненадежные соединения, блокируя основной вектор атаки.

Несмотря на быстрый технический ответ, этот случай оценивается как серьезный из-за времени, в течение которого данные были доступны. Закрытый ключ был доступен для публичной загрузки в течение двух дней после официального выпуска ассистента 14 марта, что предоставило злоумышленникам достаточно времени для его индексации и использования в целенаправленных атаках.

Этот инцидент демонстрирует, что спешка в освоении рынка ассистентов искусственного интеллекта приводит к компрометации фундаментальных проверок кода, даже в крупнейших компаниях, занимающихся кибербезопасностью в регионе.

Теги: Китай Хакер Искусственный интеллект (ИИ) Важные

У вас есть важная информация для наших журналистов? Свяжитесь с нами