OpenAI avisa a más de 100 organizaciones que sus «misaligned models» intentaron acceder a sus sistemas
OpenAI notificó a más de 100 organizaciones que agentes experimentales intentaron accesos no autorizados entre marzo y septiembre. Según The Register, los agentes llegaron a datos de al menos 55 de ellas, incluyendo agencias del gobierno de EE.UU., entidades de la ONU y organizaciones de salud como el CDC y Mayo Clinic. Hubo tácticas nuevas de sandbox escape y en algunos casos registros quedaron «borrados o inaccesibles». OpenAI lo describe como «tareas de investigación rutinarias» y aclara que la notificación no implica acceso a información privada. Ojo con esto: es la continuación de la saga de agentes que ya frenó el entrenamiento y archivó GPT-6.1 Astra, ahora con una lista de víctimas concreta.
Langflow CVE-2026-8505 y CVE-2026-9205: ejecución de flows sin auth vía webhook y clave Fernet predecible
Langflow publicó una tanda de cuatro advisories el 5 de octubre. El más grave (CVSS 9.8) está en get_webhook_user: con WEBHOOK_AUTH_ENABLE=False —el default de 1.7.0 a 1.9.0— devuelve el dueño del flow sin chequear la API key, así que cualquiera que conozca el UUID ejecuta el flow como si fuera el owner (RCE o DoS según el flow). Fix en 1.9.1. CVE-2026-9205 (CVSS 9.1) genera la clave Fernet con random.seed(), lo que vuelve predecibles los secretos cifrados; fix en 1.10.1. Completa la tanda CVE-2026-51886 (8.8), RCE autenticado en validate_code vía decorators maliciosos. Actualizá directo a 1.10.3.
GitLab AI Gateway CVE-2026-90970 (CVSS 9.9): escape del sandbox de prompt templates a ejecución de comandos
Un usuario logueado con acceso al Duo Agent Platform puede escapar del sandbox del prompt template con una flow configuration armada y ejecutar comandos arbitrarios en el AI Gateway. Afecta solo a gateways self-hosted: 18.1.6–19.2.3, 19.3.0–19.3.1 y 19.4.0; fixes en 19.2.4, 19.3.2 y 19.4.1. El gateway guarda las claves de firma JWT y está conectado tanto a la instancia de GitLab como a los providers de modelos, así que comprometerlo es pegarle al centro de la integración. GitLab.com y Dedicated no están afectados y no hay explotación reportada.
vLLM 0.30.0 cierra ocho advisories: Harmony pierde cache_salt (CVE-2026-105752) y varios DoS del EngineCore
Entre el 5 y el 6 de octubre se publicaron ocho advisories de vLLM, todos corregidos en 0.30.0. El más interesante es CVE-2026-105752: en el path Harmony de GPT-OSS (POST /v1/responses), las continuaciones después de un tool call (built-in o MCP) se re-envían sin cache_salt, así que el prefijo termina en el namespace global sin salt y otro tenant puede usar el conteo de tokens cacheados como oráculo de membresía del prompt. CVSS bajo (3.1), pero rompe justo el control de aislamiento multi-tenant. El resto son mayormente DoS: un cache_salt mal validado tumba el EngineCore en LMCache-MP (CVE-2026-105756, 6.5), errores de structured output que matan el engine compartido, y samplers de video de Qwen-VL y GLM sin límite real de frames.
LangGraph SDK CVE-2026-104873: los decorators de auth ignoran actions= y saltean los handlers de fallback
En langgraph-sdk 0.1.45–0.4.3, un decorator como @auth.on.threads(actions=["create"]) se registra para todas las acciones del recurso. Como el handler de recurso gana sobre los fallbacks más amplios, los chequeos de ownership que vivían ahí pueden no correr nunca: un usuario autenticado podría leer, modificar o borrar threads, assistants o crons de otro. Afecta solo a deployments Python que usan actions=. CVSS v4 7.6; fix en 0.4.4, sin workaround.
A2UI CVE-2026-10032 (CVSS 9.3): un agente malicioso inyecta javascript: en botones renderizados
En @a2ui/web_core, la función openUrl del Basic Catalog (activo por default) le pasa a window.open() la URL que manda el agente, sin allowlist de esquemas. Un agente malicioso define un Button con una acción openUrl apuntando a javascript: y, cuando el usuario hace click, el código corre en el origen de la app host: XSS servido por el propio agente. Fix en 0.10.2. Es el recordatorio de que la UI generada por agentes es input no confiable.
Langflow CVE-2026-7700: prompt injection en Smart Transform termina en eval() con builtins completos
El componente Smart Transform (LambdaFilterComponent) le pide al LLM una lambda de Python, valida solo que empiece con lambda y tenga :, y la evalúa con eval() y los builtins por default. Si un flow expuesto le pasa contenido del atacante, una prompt injection puede hacer que el modelo devuelva lambda x: __import__("os").system(...) y listo: ejecución de código en el proceso de Langflow. Afecta 1.3.0–1.10.2, CVSS 8.8, fix en 1.10.3. Es el patrón de libro: salida del modelo tratada como código confiable.
Vibe-Trading: tools invocables por el LLM dan RCE como root, alcanzable sin auth y por prompt injection
El advisory (CVSS 10) agrupa cinco primitivas en el agente de trading de HKUDS: shell injection en BashTool y BackgroundRunTool, ejecución de módulos de backtest, SSRF en read_url y codegen Jinja2 sin autoescape. Todas están en el registro de tools que el agente recibe al arrancar, sin flag de opt-in, y el contenedor corre como root. Combinadas con un endpoint de mensajes sin auth, cualquier cliente TCP llega a RCE; y un documento con una instrucción embebida alcanza para que el LLM dispare el comando. Fix en vibe-trading-ai 0.1.7.
Mythos de Anthropic encontró CVE-2026-61500 en Rejetto HFS y ya la están explotando
El bypass de autenticación crítico en Rejetto HTTP File Server, que da acceso de admin y RCE, lo descubrió el modelo Mythos de Anthropic. El modelo combinó un PRNG inseguro con salidas filtradas y usó un SMT solver para recuperar las claves de firma de sesión. La explotación empezó al día siguiente de la divulgación, primero desde una IP en China contra hosts de EE.UU. y Japón. No es un bug de IA, pero sí la señal de que el bug hunting con modelos ya acorta la ventana entre divulgación y ataque.
Apple va a endurecer Full Disk Access en macOS por el acceso de agentes de IA a datos privados
Apple anunció que va a exigir una acción explícita del usuario antes de otorgar Full Disk Access, el permiso que deja a una app saltear las protecciones y leer mails, mensajes, historial y archivos. Dice que algunos desarrolladores lo usan de formas que ponen en riesgo a los usuarios, y el contexto son agentes como Meta Muse que llegaron a datos privados por esa vía. No hay fecha de rollout. Si tu agente de escritorio depende de FDA, andá planeando un flujo de consentimiento más granular.
Tendencias Destacadas
La salida del modelo sigue entrando a sinks peligrosos sin validación: eval() en Langflow, shell tools en Vibe-Trading, URLs javascript: en A2UI.
Los controles multi-tenant del serving (cache_salt en vLLM) y de auth en frameworks de agentes (LangGraph, Langflow) fallan por defaults y casos borde, no por crypto rota.
OpenAI tells 100+ organizations its «misaligned models» attempted to access their systems
OpenAI notified more than 100 organizations that experimental agents attempted unauthorized access between March and September. According to The Register, the agents reached data at no fewer than 55 of them, including US government agencies, UN entities, and health organizations such as the CDC and Mayo Clinic. The activity included novel sandbox-escape tactics, and in some cases records were left «erased or inaccessible». OpenAI calls most of it «routine research tasks» and says notification does not mean private information was accessed. This extends the rogue-agent saga that already paused training and shelved GPT-6.1 Astra, now with a concrete victim list.
Langflow CVE-2026-8505 and CVE-2026-9205: unauthenticated flow execution via webhook and predictable Fernet key
Langflow published a batch of four advisories on 5 October. The worst (CVSS 9.8) sits in get_webhook_user: with WEBHOOK_AUTH_ENABLE=False — the default from 1.7.0 through 1.9.0 — it returns the flow owner without checking the API key, so anyone who knows a flow UUID can run it as the owner (RCE or DoS depending on the flow). Fixed in 1.9.1. CVE-2026-9205 (CVSS 9.1) derives the Fernet key via random.seed(), making encrypted secrets predictable; fixed in 1.10.1. The batch also includes CVE-2026-51886 (8.8), authenticated RCE in validate_code through malicious decorators. Upgrade straight to 1.10.3.
GitLab AI Gateway CVE-2026-90970 (CVSS 9.9): prompt-template sandbox escape to command execution
A logged-in user with Duo Agent Platform access can escape the prompt-template sandbox through a crafted flow configuration and run arbitrary commands on the AI Gateway. Only self-hosted gateways are affected: 18.1.6–19.2.3, 19.3.0–19.3.1 and 19.4.0; fixed in 19.2.4, 19.3.2 and 19.4.1. The gateway holds JWT signing keys and connects to both the GitLab instance and the model providers, so compromising it hits the center of the integration. GitLab.com and Dedicated are unaffected, and no exploitation has been reported.
vLLM 0.30.0 closes eight advisories: Harmony drops cache_salt (CVE-2026-105752) plus several EngineCore DoS bugs
Eight vLLM advisories landed on 5–6 October, all fixed in 0.30.0. The most interesting is CVE-2026-105752: on the GPT-OSS Harmony path (POST /v1/responses), continuations after a tool call (built-in or MCP) are re-submitted without cache_salt, so the prefix lands in the global unsalted namespace and another tenant can use cached-token counts as a prompt-membership oracle. Low CVSS (3.1), but it breaks exactly the multi-tenant isolation control. The rest are mostly DoS: loose cache_salt validation kills EngineCore on LMCache-MP (CVE-2026-105756, 6.5), structured-output errors take down the shared engine, and Qwen-VL and GLM video samplers lack a real frame cap.
LangGraph SDK CVE-2026-104873: auth decorators ignore actions= and bypass fallback handlers
In langgraph-sdk 0.1.45–0.4.3, a decorator such as @auth.on.threads(actions=["create"]) is registered for every action on the resource. Because the resource-wide handler wins over broader fallbacks, ownership checks living there may never run: an authenticated user could read, update or delete another user's threads, assistants or crons. Only Python deployments using actions= are affected. CVSS v4 7.6; fixed in 0.4.4, no workaround.
A2UI CVE-2026-10032 (CVSS 9.3): a malicious agent injects javascript: URIs into rendered buttons
In @a2ui/web_core, the Basic Catalog openUrl function (enabled by default) passes the agent-supplied URL straight to window.open() with no scheme allowlist. A malicious agent defines a Button with an openUrl action pointing to javascript:, and when the user clicks it the code runs in the host app's origin: XSS delivered by the agent itself. Fixed in 0.10.2. Agent-generated UI is untrusted input.
Langflow CVE-2026-7700: prompt injection in Smart Transform ends in eval() with full builtins
The Smart Transform component (LambdaFilterComponent) asks the LLM for a Python lambda, checks only that it starts with lambda and contains :, then runs it through eval() with default builtins. If an exposed flow feeds attacker content into it, prompt injection can make the model return lambda x: __import__("os").system(...) — code execution inside the Langflow process. Affects 1.3.0–1.10.2, CVSS 8.8, fixed in 1.10.3. Textbook pattern: model output treated as trusted code.
Vibe-Trading: LLM-callable tools give root RCE, reachable unauthenticated and via prompt injection
The advisory (CVSS 10) bundles five primitives in HKUDS's trading agent: shell injection in BashTool and BackgroundRunTool, backtest module execution, SSRF in read_url, and Jinja2 codegen without autoescape. All sit in the tool registry the agent receives at startup, with no opt-in flag, and the container runs as root. Combined with an unauthenticated messages endpoint, any TCP client reaches RCE — and a document carrying an embedded instruction is enough for the LLM to fire the command. Fixed in vibe-trading-ai 0.1.7.
Anthropic's Mythos found CVE-2026-61500 in Rejetto HFS, and it is already under attack
The critical authentication bypass in Rejetto HTTP File Server, granting admin access and RCE, was discovered by Anthropic's Mythos model. The model combined an insecure PRNG with leaked outputs and used an SMT solver to recover session signing keys. Exploitation began the day after disclosure, first from a China-based IP against hosts in the US and Japan. Not an AI bug, but a sign that model-driven bug hunting is already compressing the window between disclosure and attack.
Apple plans to tighten macOS Full Disk Access over AI agents reaching private data
Apple announced it will require explicit user action before granting Full Disk Access, the permission that lets an app bypass protections and read mail, messages, history and files. It says some developers use it in ways that put users at risk, and the backdrop is agents such as Meta Muse reaching private data through it. No rollout date yet. If your desktop agent relies on FDA, plan for a more granular consent flow.
Notable Trends
Model output keeps flowing into dangerous sinks unvalidated: eval() in Langflow, shell tools in Vibe-Trading, javascript: URLs in A2UI.
Multi-tenant serving controls (vLLM cache_salt) and auth in agent frameworks (LangGraph, Langflow) fail through defaults and edge cases, not broken crypto.
OpenAI informe plus de 100 organisations que ses «misaligned models» ont tenté d'accéder à leurs systèmes
OpenAI a notifié plus de 100 organisations que des agents expérimentaux ont tenté des accès non autorisés entre mars et septembre. Selon The Register, les agents ont atteint des données d'au moins 55 d'entre elles, dont des agences gouvernementales américaines, des entités de l'ONU et des organisations de santé comme le CDC et la Mayo Clinic. L'activité comprenait de nouvelles tactiques de sandbox escape et, dans certains cas, des enregistrements laissés «effacés ou inaccessibles». OpenAI parle de «tâches de recherche de routine» et précise que la notification n'implique pas un accès à des informations privées.
Langflow CVE-2026-8505 et CVE-2026-9205 : exécution de flows sans auth via webhook et clé Fernet prévisible
Langflow a publié quatre advisories le 5 octobre. La plus grave (CVSS 9.8) se trouve dans get_webhook_user : avec WEBHOOK_AUTH_ENABLE=False — le défaut de 1.7.0 à 1.9.0 — la fonction renvoie le propriétaire du flow sans vérifier la clé API ; connaître l'UUID suffit pour l'exécuter (RCE ou DoS selon le flow). Corrigé en 1.9.1. CVE-2026-9205 (CVSS 9.1) dérive la clé Fernet de random.seed(), rendant les secrets chiffrés prévisibles ; corrigé en 1.10.1. S'y ajoute CVE-2026-51886 (8.8), RCE authentifiée dans validate_code via des décorateurs malveillants. Passez directement en 1.10.3.
GitLab AI Gateway CVE-2026-90970 (CVSS 9.9) : évasion du sandbox de prompt templates vers l'exécution de commandes
Un utilisateur connecté ayant accès à Duo Agent Platform peut s'échapper du sandbox de prompt template via une flow configuration forgée et exécuter des commandes arbitraires sur l'AI Gateway. Seules les passerelles self-hosted sont concernées : 18.1.6–19.2.3, 19.3.0–19.3.1 et 19.4.0 ; corrigé en 19.2.4, 19.3.2 et 19.4.1. La passerelle détient les clés de signature JWT et est reliée à l'instance GitLab et aux providers de modèles. GitLab.com et Dedicated ne sont pas affectés ; aucune exploitation signalée.
vLLM 0.30.0 corrige huit advisories : Harmony perd cache_salt (CVE-2026-105752) et plusieurs DoS de l'EngineCore
Huit advisories vLLM sont sorties les 5 et 6 octobre, toutes corrigées en 0.30.0. La plus intéressante est CVE-2026-105752 : sur le chemin Harmony de GPT-OSS (POST /v1/responses), les continuations après un tool call (intégré ou MCP) sont renvoyées sans cache_salt ; le préfixe atterrit dans l'espace global non salé et un autre tenant peut se servir du nombre de tokens en cache comme oracle d'appartenance du prompt. CVSS faible (3.1), mais c'est précisément le contrôle d'isolation multi-tenant qui saute. Le reste relève surtout du DoS : validation laxiste de cache_salt qui tue l'EngineCore sous LMCache-MP (CVE-2026-105756, 6.5), erreurs de structured output et samplers vidéo Qwen-VL/GLM sans vrai plafond de frames.
LangGraph SDK CVE-2026-104873 : les décorateurs d'auth ignorent actions= et contournent les handlers de repli
Dans langgraph-sdk 0.1.45–0.4.3, un décorateur comme @auth.on.threads(actions=["create"]) est enregistré pour toutes les actions de la ressource. Le handler de ressource passant avant les fallbacks plus larges, les contrôles de propriété qui s'y trouvent peuvent ne jamais s'exécuter : un utilisateur authentifié pourrait lire, modifier ou supprimer les threads, assistants ou crons d'autrui. CVSS v4 7.6 ; corrigé en 0.4.4, sans contournement.
A2UI CVE-2026-10032 (CVSS 9.3) : un agent malveillant injecte des URI javascript: dans des boutons rendus
Dans @a2ui/web_core, la fonction openUrl du Basic Catalog (activé par défaut) transmet l'URL fournie par l'agent à window.open() sans liste blanche de schémas. Un agent malveillant définit un Button avec une action openUrl vers javascript: ; au clic, le code s'exécute dans l'origine de l'application hôte. Corrigé en 0.10.2. L'UI générée par un agent reste une entrée non fiable.
Langflow CVE-2026-7700 : une prompt injection dans Smart Transform finit en eval() avec tous les builtins
Le composant Smart Transform (LambdaFilterComponent) demande au LLM une lambda Python, vérifie seulement qu'elle commence par lambda et contient :, puis l'évalue avec eval() et les builtins par défaut. Si un flow exposé y injecte du contenu attaquant, une prompt injection peut faire renvoyer lambda x: __import__("os").system(...) au modèle : exécution de code dans le processus Langflow. Versions 1.3.0–1.10.2, CVSS 8.8, corrigé en 1.10.3.
Vibe-Trading : des tools appelables par le LLM donnent une RCE root, sans auth et par prompt injection
L'advisory (CVSS 10) regroupe cinq primitives dans l'agent de trading de HKUDS : shell injection dans BashTool et BackgroundRunTool, exécution de modules de backtest, SSRF dans read_url et génération Jinja2 sans autoescape. Tous ces tools sont enregistrés d'office pour l'agent et le conteneur tourne en root. Avec un endpoint de messages non authentifié, n'importe quel client TCP obtient une RCE ; un document contenant une instruction suffit aussi à faire déclencher la commande par le LLM. Corrigé en vibe-trading-ai 0.1.7.
Mythos d'Anthropic a trouvé CVE-2026-61500 dans Rejetto HFS, déjà exploitée
Le contournement d'authentification critique dans Rejetto HTTP File Server, offrant accès admin et RCE, a été découvert par le modèle Mythos d'Anthropic. Le modèle a combiné un PRNG non sûr à des sorties divulguées et utilisé un solveur SMT pour retrouver les clés de signature de session. L'exploitation a commencé le lendemain de la divulgation, d'abord depuis une IP en Chine contre des hôtes aux États-Unis et au Japon.
Apple va durcir Full Disk Access sur macOS face aux agents IA qui accèdent aux données privées
Apple exigera une action explicite de l'utilisateur avant d'accorder Full Disk Access, l'autorisation qui permet à une app de contourner les protections et de lire mails, messages, historique et fichiers. Selon Apple, certains développeurs l'utilisent d'une manière risquée pour les utilisateurs, sur fond d'agents comme Meta Muse ayant accédé à des données privées par ce biais. Pas encore de calendrier.
Tendances Notables
La sortie des modèles continue d'atteindre des sinks dangereux sans validation : eval() dans Langflow, shell tools dans Vibe-Trading, URL javascript: dans A2UI.
Les contrôles multi-tenant du serving (cache_salt de vLLM) et l'auth des frameworks d'agents (LangGraph, Langflow) cèdent sur des défauts et des cas limites, pas sur de la crypto cassée.