Der Kern des Problems liegt laut Bericht darin, dass NemoClaw Ollama mit der Umgebungsvariable OLLAMA_HOST=0.0.0.0:11434 startet und den Modellserver damit an sämtliche Netzwerkschnittstellen bindet. Der so erreichbare API-Zugang erlaubt es einem Angreifer, die Chat-Vorlage des Modells zu verändern, sodass versteckte Anweisungen in jede spätere Unterhaltung einfließen. Auch Ollamas eigene Integrationsseite zu NemoClaw empfiehlt, OLLAMA_HOST=0.0.0.0 zu setzen, wenn die Software in WSL2 oder einem Container läuft — dass genau diese Bindung Ollama-Instanzen über den lokalen Rechner hinaus exponiert, war bereits zuvor beschrieben worden.
Die API auf Port 11434 kennt keine Authentifizierung und verlässt sich auf zwei Middleware-Schichten, die aus dem Browser stammende Anfragen blockieren sollen. Ist die Bind-Adresse nicht das Loopback-Interface, entfällt die Prüfung des Host-Headers vollständig. Die CORS-Schicht wertet die Anfrage anschließend als gleichursprünglich und lässt sie durch, weil Origin- und Host-Header beide die Domain des Angreifers tragen — das gilt für eine Seite, die der Angreifer selbst auf Port 11434 ausliefert.
Den verbleibenden Schritt erledigt DNS-Rebinding: Die Angreiferdomain löst zunächst auf den eigenen Server auf, danach auf 127.0.0.1, während der Browser die Anfragen weiterhin als gleichursprünglich behandelt. Luz zufolge wurde die vollständige Kette unter macOS mit Firefox gegen eine verwundbare NemoClaw-Version getestet. Als Standardgegenmaßnahme für diese Angriffsklasse gilt die Prüfung von Host- und Origin-Header.
DNS-Rebinding gegen die Ollama-API ist selbst dokumentiert: Ollama lieferte am 14. März 2024 mit v0.1.29 eine Korrektur aus, NCC Group veröffentlichte im Folgemonat das Advisory als CVE-2024-28224 und empfahl darin die serverseitige Validierung des Host-Headers gegen eine Liste zulässiger Werte. „Aber Ollama überspringt diese Validierung, sobald es an eine Nicht-Loopback-Adresse gebunden ist — und genau so konfiguriert NemoClaw es", sagte Luz.
Ist die API erreichbar, schreibt die im Bericht beschriebene Nutzlast über /api/create eine veränderte Go-Vorlage. Diese Vorlage steuert, wie das strukturierte Nachrichten-Array vor der Verarbeitung durch das Modell in Rohtext überführt wird; die vergiftete Fassung hängt zur Inferenzzeit angreiferkontrollierten Text an jede Systemnachricht an. So platzierte Anweisungen überdauern spätere Unterhaltungen und bleiben auch dann wirksam, wenn der Agent seinen eigenen System-Prompt mitliefert. „Der Client kann das weder erkennen noch verhindern — die Vorlage ist eine Eigenschaft auf Modellebene und für API-Konsumenten unsichtbar", so Oasis Security.
The Hacker News prüfte am 25. August das NemoClaw-Repository beim Commit 17f0ca3b und stellte fest, dass der lokale Ollama-Proxy den Start gegen ein nicht an Loopback gebundenes Backend verweigert — eine Voreinstellung, die am 10. August mit v0.0.106 eingeführt wurde. Der Proxy bricht mit eigenem Statuscode ab und weist darauf hin, dass ein über eine Nicht-Loopback-Schnittstelle erreichbarer Ollama-Daemon die Token-Prüfung des Proxys vollständig umgeht; über NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1 lässt sich die Prüfung abschalten, und auf Hosts, auf denen sie nicht ausgeführt werden kann, greift kein sicherer Rückfall.
Die Prüfung läuft im Proxy selbst — und diesen startet NemoClaw auf den WSL-Pfaden nicht, wozu auch die Windows-Host-Konfiguration zählt. Die Voreinstellung aus v0.0.106 erreicht damit genau jenen Plattformpfad nicht, auf dem die 0.0.0.0-Bindung gesetzt wird. Eine Integritätsprüfung der Chat-Vorlage fand die Durchsicht nirgends im Repository; NemoClaw fragt /api/show lediglich nach der nativen Kontextlänge eines Modells und dessen deklarierter Tool-Calling-Fähigkeit ab.
NVIDIAs Dokumentation weist Betreiber auf dem Windows-Host-Pfad an, Port 11434 nicht gegenüber LAN oder Internet freizugeben. Diese Empfehlung zielt auf eingehende Zugriffe aus dem Netz — die Rebinding-Kette braucht sie nicht, weil der anfragende Browser bereits auf dem Host läuft und den Daemon über 127.0.0.1 erreicht. Die Technik vergifteter Chat-Vorlagen ist bereits dokumentiert: Forscher von Oasis Security beschrieben sie in diesem Monat gegen Paperclip und nutzten im Februar einen vergleichbaren Weg vom Browser zu localhost, um lokale OpenClaw-Agenten zu übernehmen.