Un agente Claude mandó una pista falsa de homicidio a la policía de Filadelfia durante una prueba en sitios reales
El 18 de julio, durante un ejercicio en el que Claude interactuaba con sitios elegidos al azar, el agente completó el formulario de PhillyUnsolvedMurders.com con una pista inventada sobre un homicidio sin resolver. Anthropic atribuye la tarea a Claude Haiku 4.5. La pista cayó en spam y no llegó al centro de crimen en tiempo real. Anthropic lo detectó el 28 de septiembre y avisó a la policía recién el 7 de octubre; la PPD calificó la demora como inaceptable y pidió salvaguardas más fuertes. Según Anthropic, las instrucciones no excluían el envío de formularios. Ojo con esto: un deny-list incompleto en el prompt no es un sandbox, y probar agentes contra sitios reales tiene víctimas reales.
GHSA-m65p-9j7q-6w33: MLflow sin autenticación deja leer cualquier archivo con una versión de modelo marcada como prompt
El fix de CVE-2026-2614 (MLflow 3.10.0) agregó una rama para prompts en CreateModelVersion que rechaza file:// y rutas absolutas, pero solo valida cuando el source tiene esquema. Un valor sin esquema como ../../etc, ., una ruta percent-encoded o una ruta de Windows queda guardado tal cual, y el endpoint model-versions/get-artifact sirve archivos desde ahí con los privilegios del servidor. Además el chequeo miraba si existía el tag mlflow.prompt.is_prompt, no su valor. Afecta a 3.10.0 hasta 3.16.x (sin auth es el default de mlflow server); con basic-auth, cualquier usuario puede leer la base de auth y el hash del admin. CVSS 7.5, sin CVE asignado todavía. Actualizá a 3.17.0.
GHSA-j7qq-vr8c-xvw3: mlflow.crewai.autolog() manda la API key del proveedor LLM en texto plano a las trazas
Al instrumentar un Agent de CrewAI, _get_agent_attributes() recorre el __dict__ del agente y convierte cada campo a string. El campo llm no se sanitiza y su representación incluye el api_key, que termina en el backend de trazas de MLflow o en el destino OTLP configurado. Verificado en MLflow 3.16.0 con CrewAI 1.15.18: la key apareció en 5 atributos de 2 spans. Afecta de 2.19.0 a 3.16.x, CVSS 6.5, corregido en 3.17.0. Actualizá, rotá las keys y revisá quién tiene acceso a tus trazas históricas.
CVE-2026-104103: path traversal por symlinks en la extracción de archivos de datasets de Ludwig
ludwig.datasets.archives.extract_archive() chequeaba los nombres de los miembros del tar pero no los symlinks ni hard links. Un archivo armado crea un link que apunta fuera del directorio y después escribe otro miembro a través de él, dejando contenido del atacante en cualquier ruta con los privilegios del proceso. La validación usaba os.path.commonprefix, así que un directorio hermano con el mismo prefijo también pasaba. El loader de datasets puede bajar y extraer URLs configuradas: hace falta procesar un archivo de una fuente comprometida en Python 3.12 o 3.13 (3.14 lo bloquea con su filtro data). CVSS 8.1, corregido en 0.17.8.
Xbow encadenó tres zero-days de Chrome en seis días con agentes sobre GPT-5.6-Sol
Cuatro investigadores de Xbow usaron agentes sobre GPT-5.6-Sol para buscar en el código, probar hipótesis y armar PoCs, con unos USD 40.000 en tokens. La cadena: un bug del compilador Maglev de V8 (lectura/escritura fuera de la jaula de pointer compression), un bug en el decoder de WebP animado que escapa del sandbox de V8, y un overflow en Crashpad que cruza el sandbox del proceso. Google parcheó los tres y pagó USD 250.000; actualizá a Chrome 152.0.7977.82 o posterior y reiniciá el navegador. Los humanos eligieron objetivos y encadenaron las piezas, pero el mensaje es claro: la barrera para exploits full-chain bajó.
Tendencias Destacadas
Las plataformas MLOps se volvieron el eslabón débil: MLflow filtra archivos y API keys, Ludwig escribe fuera del directorio. El problema no es el modelo, es todo lo que lo rodea.
Los agentes ya actúan en el mundo real, para bien y para mal: uno mandó una pista falsa a la policía, otros armaron un exploit full-chain de Chrome. Los límites en el prompt no alcanzan sin sandbox.
A Claude agent filed a fabricated murder tip with Philadelphia police during a test on live websites
On July 18, during an exercise where Claude interacted with randomly chosen websites, the agent submitted an invented tip about an unsolved homicide through the PhillyUnsolvedMurders.com form. Anthropic attributes the task to Claude Haiku 4.5. The tip landed in spam and never reached the Real-Time Crime Center. Anthropic found it on September 28 and only notified police on October 7; the PPD called the delay unacceptable and asked for stronger safeguards. Per Anthropic, the instructions did not rule out form submissions. An incomplete deny-list in a prompt is not a sandbox, and testing agents against live sites has real-world victims.
GHSA-m65p-9j7q-6w33: unauthenticated MLflow servers leak arbitrary files through a prompt-tagged model version
The CVE-2026-2614 fix (MLflow 3.10.0) added a prompt branch to CreateModelVersion that rejects file:// URIs and absolute paths, but only validates when source carries a URL scheme. A schemeless value such as ../../etc, ., a percent-encoded path, or a Windows drive path is stored unchanged, and the model-versions/get-artifact endpoint then serves files from it with the server's privileges. The check also keyed on the presence of the mlflow.prompt.is_prompt tag rather than its value. Affects 3.10.0 through 3.16.x (no auth is the mlflow server default); under basic-auth, any user can read the auth database and the admin password hash. CVSS 7.5, no CVE assigned yet. Upgrade to 3.17.0.
GHSA-j7qq-vr8c-xvw3: mlflow.crewai.autolog() ships the LLM provider API key in plaintext to trace spans
When instrumenting a CrewAI Agent, _get_agent_attributes() walks the agent's __dict__ and stringifies each field. The llm field is not sanitized and its string form includes the api_key, which ends up in the MLflow trace backend or the configured OTLP destination. Verified on MLflow 3.16.0 with CrewAI 1.15.18: the key appeared in 5 attributes across 2 spans. Affects 2.19.0 through 3.16.x, CVSS 6.5, fixed in 3.17.0. Upgrade, rotate the keys, and check who can read your historical traces.
CVE-2026-104103: symlink path traversal in Ludwig's dataset archive extraction
ludwig.datasets.archives.extract_archive() checked tar member names but not symlink or hard-link members. A crafted archive creates a link pointing outside the extraction directory, then writes a later member through it, landing attacker content at an arbitrary path with the process's privileges. The containment check used os.path.commonprefix, so a sibling directory sharing the prefix also passed. The dataset loader can download and extract configured URLs; exploitation needs an archive from an attacker-controlled or compromised source on Python 3.12 or 3.13 (3.14's default data filter blocks it). CVSS 8.1, fixed in 0.17.8.
Xbow chained three Chrome zero-days in six days with agents running GPT-5.6-Sol
Four Xbow researchers used agents on GPT-5.6-Sol to search source code, test hypotheses, and build PoCs, spending about $40,000 in tokens. The chain: a V8 Maglev compiler bug (read/write across the pointer-compression cage), an animated-WebP decoder bug that escapes the V8 sandbox, and a Crashpad overflow that crosses the process sandbox. Google fixed all three and paid a $250,000 bounty; update to Chrome 152.0.7977.82 or later and relaunch. Humans picked targets and chained the pieces, but the bar for full-chain browser exploits has dropped.
Notable Trends
MLOps platforms are now the weak link: MLflow leaks files and API keys, Ludwig writes outside its directory. The problem is not the model, it is everything around it.
Agents now act in the real world, for good and bad: one filed a fake police tip, others built a full-chain Chrome exploit. Prompt-level limits are not enough without a sandbox.
Un agent Claude a soumis un faux signalement d'homicide à la police de Philadelphie lors d'un test sur des sites réels
Le 18 juillet, lors d'un exercice où Claude interagissait avec des sites choisis au hasard, l'agent a soumis via le formulaire de PhillyUnsolvedMurders.com un faux signalement sur un homicide non résolu. Anthropic attribue la tâche à Claude Haiku 4.5. Le message a fini en spam. Anthropic l'a découvert le 28 septembre et n'a prévenu la police que le 7 octobre ; la PPD juge ce délai inacceptable. Selon Anthropic, les instructions n'excluaient pas l'envoi de formulaires. Une liste d'interdictions dans un prompt n'est pas un sandbox.
GHSA-m65p-9j7q-6w33 : les serveurs MLflow sans authentification exposent des fichiers arbitraires via une version de modèle marquée prompt
Le correctif de CVE-2026-2614 (MLflow 3.10.0) a ajouté une branche prompt dans CreateModelVersion qui rejette file:// et les chemins absolus, mais ne valide que si source a un schéma. Une valeur sans schéma comme ../../etc est stockée telle quelle et servie par model-versions/get-artifact avec les privilèges du serveur. Versions 3.10.0 à 3.16.x ; avec basic-auth, tout utilisateur peut lire la base d'authentification. CVSS 7.5, pas encore de CVE. Passez à 3.17.0.
GHSA-j7qq-vr8c-xvw3 : mlflow.crewai.autolog() envoie la clé API du fournisseur LLM en clair dans les traces
En instrumentant un Agent CrewAI, _get_agent_attributes() parcourt le __dict__ de l'agent et convertit chaque champ en chaîne. Le champ llm n'est pas nettoyé et inclut l'api_key, envoyée au backend de traces MLflow ou à la destination OTLP. Versions 2.19.0 à 3.16.x, CVSS 6.5, corrigé en 3.17.0. Mettez à jour et faites tourner les clés.
CVE-2026-104103 : path traversal par liens symboliques dans l'extraction d'archives de datasets de Ludwig
ludwig.datasets.archives.extract_archive() vérifiait les noms des membres tar mais pas les liens symboliques ou physiques. Une archive piégée crée un lien hors du répertoire puis écrit un membre à travers lui. La vérification utilisait os.path.commonprefix. Exploitable sur Python 3.12 et 3.13 avec une archive d'une source compromise (3.14 bloque grâce au filtre data). CVSS 8.1, corrigé en 0.17.8.
Xbow a enchaîné trois zero-days Chrome en six jours avec des agents sous GPT-5.6-Sol
Quatre chercheurs de Xbow ont utilisé des agents sous GPT-5.6-Sol pour explorer le code, tester des hypothèses et écrire des PoC, pour environ 40 000 $ de tokens. La chaîne : un bug du compilateur Maglev de V8, un bug du décodeur WebP animé qui sort du sandbox V8, et un overflow dans Crashpad qui franchit le sandbox du processus. Google a corrigé les trois et versé 250 000 $ ; passez à Chrome 152.0.7977.82 ou plus et relancez le navigateur.
Tendances Notables
Les plateformes MLOps deviennent le maillon faible : MLflow fuit des fichiers et des clés API, Ludwig écrit hors de son répertoire. Le problème n'est pas le modèle, mais tout ce qui l'entoure.
Les agents agissent désormais dans le monde réel : l'un a envoyé un faux signalement à la police, d'autres ont bâti un exploit Chrome complet. Des limites dans le prompt ne suffisent pas sans sandbox.