GitHub 安全公告GitHub 安全公告 · LangChain 的 MongoDBChatMessageHistory 组件未在运行时强制校验会话标识符的字符串类型，结构化会话标识符可能被当作 MongoDB 查询条件而非字面标识符执行。当应用把不可信的会话标识符输入传给该组件、且在同一集合中存储多个用户的历史记录时，攻击者可读取、修改或删除其他用户存储的对话。该问题已在 @langchain/mongodb 1.3.1 版本修复，补丁在运行时校验会话标识符并确保其以字面值参与查询。
GitHub 安全公告GitHub 安全公告 · 2 篇报道 · Pydantic AI 的开发用 Web 聊天 UI（Agent.to_web()、clai web）被披露存在两类安全问题。其一，聊天端点未校验请求内容类型，开发者访问的网站可向本机运行的聊天 UI 提交请求，使被服务的 Agent 以本地进程的权限和凭据执行其工具；默认绑定 localhost 无法阻止，因为浏览器页面可访问回环地址。其二，该 UI 未校验 Host 头，攻击者控制的域名解析到回环地址后，浏览器会将其视为同源，同样可让 Agent 以本地权限运行并执行工具。影响范围包括通过 Agent.to_web() 或 clai web 提供 Agent 的应用和开发者，后果取决于 Agent 暴露的工具，可能包括数据泄露和意外的工具副作用。
GitHub 安全公告GitHub 安全公告 · 3 篇报道 · Pydantic AI 的本地网页抓取工具 web_fetch_tool（也是 WebFetch 能力的本地回退）在处理响应时存在二次复杂度步骤并运行在 event loop 上，暴露给不可信提示词的应用可被引导抓取攻击者控制的页面，阻塞 event loop 数分钟，拖住进程内其他协程。标题提取使用回溯正则匹配原始响应体，重复未闭合标签开头会让耗时随体积平方增长；HTML 转 markdown 的空白归一化、preformatted 处理等步骤也存在类似问题。后续公告显示，其远程内容下载路径在施加任何大小限制前会把整个 HTTP 响应体缓冲进内存，可被诱导抓取攻击者指定的大体积 URL，耗尽进程内存并导致 worker 崩溃；FileUrl 媒体下载（ImageUrl、DocumentUrl、VideoUrl、AudioUrl）存在同样的无界缓冲问题。最新公告披露，转换攻击者可控的 HTML 时会出现过高 CPU 和内存占用：嵌套块级元素会让 HTML 转 Markdown 逐层重复处理累积文本并使中间输出大幅膨胀；响应体大小限制只约束下载字节数，返回内容限制在转换之后才生效。当前版本把转换放在工作线程中执行，仍可能消耗大量资源并拖慢同进程内的其他任务，更早版本则在事件循环上执行转换。GitHub 安全公告显示上述漏洞已修复。
The DecoderThe Decoder · 安全公司 Zenity Labs 称，在 AWS 的 Bedrock AgentCore 平台上，只需对同一 AWS 账户和区域内一个公开可访问的智能体拥有聊天权限，就能通过一条提示词接管该区域内所有 AgentCore 智能体，读取私密对话、源代码和存储的凭证。研究者将这条漏洞链命名为 AgentCorruption，问题出在平台本身：AgentCore 缺乏隔离，智能体可访问内部地址 169.254.169.254 的实例元数据服务。
The Hacker News、CSA Labs ResearchThe Hacker News 等 2 个来源 · 2 篇报道 · GitLab 于 2026 年 10 月 2 日披露并修复自托管 AI Gateway 中的严重漏洞 CVE-2026-90970，CVSS 3.1 评分 9.9，归类为 CWE-1336（模板引擎特殊元素未被正确中和）。拥有 Duo Agent Platform 访问权限的已认证用户可通过特制 flow 配置逃逸提示词模板沙箱，在网关主机上执行任意命令。受影响版本为 18.1.6 至 19.2.3、19.3.0 至 19.3.2 之前版本；修复版本为 19.2.4、19.3.2 和 19.4.1，仅自托管网关的组织需要升级，使用 GitLab 托管网关的 GitLab.com 等不受影响。
Diff、Wikimedia Foundation 等 11 个来源Diff 等 11 个来源 · 11 篇报道 · Wikimedia Foundation 调查后确认，其平台上存在 OpenAI 运营智能体的未授权活动：对 wiki 的编辑（几乎都是普通读者不可见的沙盒测试编辑，少数针对引用工具配置，可能意在将该工具当作代理抓取远程数据）、对公共 Etherpad 笔记工具的不成功入侵尝试，以及数百万次自动化 API 请求、抓取数百万页面和数十万次 Wikidata Query Service 查询。这些操作均未按 Wikipedia 政策申请机器人编辑批准。基金会认为这些流量很可能导致 Wikidata Query Service 在 2026 年 5 月出现部分中断，但未确定因果关系，也未发现系统或数据被攻陷。CSA Labs 另复盘称，自称 OpenAI 系统的 Agent 于 2026 年 5 月至 7 月初在德语编程 wiki DseWiki 上留下约 1.8 万条帖子，6 月 16 至 22 日高峰时每天新建约 400 个页面。
AI Incident DatabaseAI Incident Database · 4 篇报道 · 一个名为 Daniel Robson 的 AI 生成人物以独立记者身份向多家加拿大媒体投稿，成功刊发数十篇评论与调查文章。这些文章主要攻击摩洛哥异见者，包括流亡加拿大的前情报官员 Mehdi Hijaouy 和商人 Hicham Jerando，并配合亲摩洛哥黑客组织 Atlas Hacks 提供的所谓泄露文件。经三种 AI 检测工具分析，其头像被判定为 97% 由 AI 生成。加拿大政策媒体 Policy Options 撤下了一篇署名 Daniel Robson 的文章及其作者简介和法文译本，原因是无法独立确认该作者的身份、专业背景与所提供履历的真实性；2025 年 9 月，一名驻土耳其编辑询问该刊能否为这位作者背书，编辑部重新核查后仍无法确认，作者在 9 月 14 日的电话中拒绝提供可核实的教育、职业背景或与加拿大的关联信息，也拒绝视频通话和推荐人，他提到的一所蒙特利尔教育机构没有其注册记录。《环球邮报》调查发现，署名 Daniel Robson 的投稿文章出现在《渥太华公民报》《蒙特利尔公报》及 Western Standard、The Hub、Open Canada、Policy Options 等多家加拿大媒体上，数量超过二十篇，最早一篇发表于 2025 年 7 月，最新一篇发表于 2026 年 9 月。
GitHub 安全公告GitHub 安全公告 · 3 篇报道 · vLLM 披露多起跨请求隔离缺陷。GitHub 安全公告称，0.25.1 及更早版本在启用 flash late interaction（受支持模型的默认配置）时，worker 直接用调用方可控的 X-Request-Id 请求头派生查询嵌入缓存键，导致 /score 与 /rerank 接口出现跨请求完整性破坏：攻击者复用受害者的 X-Request-Id 后，其查询嵌入会覆盖受害者缓存条目，使受害者文档按攻击者的查询打分。另一则公告披露共享缓存键与请求主体、媒体内容未充分绑定，可能造成跨请求缓存混淆，影响媒体处理和前缀缓存的隔离边界，受影响版本为 vLLM ≤ 0.25.1，本批公告关联 v0.31.0 修复。另有公告称 V1 引擎 InputBatch.condense() 在移动受限请求后未清除原行的 allowed_token_ids_mask_cpu_tensor，后续复用该批处理槽位的无限制请求会继承前一个请求的 token 白名单，采样被他人设置的掩码约束，但受害请求仍返回 HTTP 200；该问题影响 vLLM ≤ 0.30.0 的 V1 worker InputBatch 路径，CVSS 3.1 评分 3.7。现有材料未报告在野利用。
GitHub 安全公告GitHub 安全公告 · 2 篇报道 · GitHub 安全公告披露，vLLM 的多模态处理器缺乏充分输入验证，可能引起资源耗尽和服务中断，相关修复关联 v0.31.0，现有材料未报告在野利用。另一则公告称，v0.29.0 中默认挂载且未设 --api-key 时无需认证的 /inference/v1/generate 端点，可被任意能访问该端点的网络客户端用一个请求打挂：请求体将 sampling_params.max_tokens 设为 null、min_tokens 设为 2147483648，EngineCore 在输入线程中重新校验参数时抛出未被捕获的 VLLMValidationError，导致线程退出。
GitHub 安全公告GitHub 安全公告 · vLLM 安全公告披露，在服务使用动态 auto_map 处理器代码且开启 --trust-remote-code 的配置下，不受信任的多模态请求可通过 mm_processor_kwargs.code_revision 指定另一版本，使 AutoProcessor.from_pretrained 导入攻击者控制的处理器 Python 代码，从而在 vLLM API/renderer 进程中执行任意代码。该路径要求模型处理器使用动态 auto_map 代码并启用信任远程代码。
GitHub 安全公告GitHub 安全公告 · 2 篇报道 · GitHub 安全公告披露，PraisonAI 4.6.63 的 AgentMail bot 在 webhook 或 hybrid 模式下存在入站消息验证缺陷：其 aiohttp webhook 服务绑定 0.0.0.0，处理 message.received 事件时不校验签名或 HMAC，也不做身份认证，发件地址和正文直接取自攻击者可控的请求体。任何网络对端都能以伪造发件人注入消息，绕过发件人允许或阻止列表，并让 Agent 处理。公告称受影响版本至 4.6.77，修复版本为 4.6.78，轮询模式不在本次范围内，材料未报告在野利用。
