Warp confirma un breach vía un proveedor externo que expuso trazas de agentes y telemetría de cerca del 1% de sus usuarios
Warp, el entorno de desarrollo agéntico, detectó un viernes una «explotación activa y acotada» de un proveedor externo dentro de su infraestructura y la remedió en horas. Según el CEO Zach Lloyd, quedaron expuestos logs de decisiones de agentes y telemetría de aproximadamente el 1% de los usuarios (Warp declara más de 800.000). La empresa no aclaró si las trazas incluían código fuente, prompts o credenciales, y tampoco detalló la vulnerabilidad del proveedor. El análisis citado habla de un «agent swarm» con técnicas sofisticadas de escalada. CrowdStrike está investigando y se notificó a las autoridades. Ojo con esto: una traza de agente suele llevar fragmentos de archivos, comandos y salidas de terminal. Si usás los agentes de Warp, revisá qué secretos pasaron por la terminal y rotalos por las dudas.
CVE-2026-116692 (CVSS 9.8): RCE sin autenticación en MLflow vía deserialización de scorers de terceros, más lectura de archivos y fuga de API keys
MLflow 3.12.0 sumó soporte para registrar y deserializar scorers de terceros. El servidor importa un módulo Python que elige el request (bajo cuatro prefijos permitidos) e instancia la clase que le pidas. Encadenalo con los endpoints de experimentos y artifacts: creás un experimento cuyo artifact location apunta a un paquete de scorers escribible, subís un .py como artifact de un run y pedís deserializar ese módulo. Resultado: RCE en un servidor sin autenticación, que es el default de mlflow server. Afecta 3.12.0rc0 a 3.16.x. En el mismo lote: CVE-2026-116690 (7.5), lectura arbitraria de archivos porque el fix de CVE-2026-2614 solo validaba sources con esquema y dejaba pasar ../../etc, y CVE-2026-116691 (6.5), donde mlflow.crewai.autolog() serializaba el objeto LLM de CrewAI con su api_key en texto plano dentro de las trazas. Actualizá a 3.17.0, poné autenticación delante del tracking server y rotá las keys de proveedores si usabas autolog de CrewAI.
CVE-2026-114053 (CVSS 8.1): en vLLM, mm_processor_kwargs.code_revision deja que el cliente elija qué revisión de código de processor importar
Otra vez trust_remote_code. Un request multimodal puede setear mm_processor_kwargs.code_revision, y ese valor llega a AutoProcessor.from_pretrained. Si el modelo usa un processor con auto_map dinámico y el operador levantó vLLM con --trust-remote-code, el cliente reemplaza el módulo que revisaste por código de otra revisión del mismo repo de Hugging Face. La revision del modelo sigue pinneada; lo que cambia es el código Python que se ejecuta en el proceso de la API. Importar un módulo es RCE. Afecta 0.7.3 a 0.30.x; arreglado en 0.31.0. Mientras tanto, no expongas endpoints multimodales con --trust-remote-code a clientes no confiables.
CVE-2026-35002 (crítica): Agno pasaba el field_type de un FunctionCall directo a eval()
En el framework de agentes Agno, el parámetro field_type de un campo de entrada de FunctionCall terminaba en el eval() de Python. Quien pueda influir ese valor ejecuta código arbitrario en el proceso: vía API, UI web o, lo más interesante, output de un modelo o tool no confiable. O sea, un prompt injection bien armado se convierte en RCE. Es CWE-95 con impacto total en confidencialidad, integridad y disponibilidad. Arreglado en Agno 2.3.24, que reemplaza el eval(). Actualizá ya si exponés agentes Agno a input de usuarios.
LiteLLM (CVSS 8.1): un internal_user_viewer lee archivos locales con el alias vertex_ai_credentials
La blocklist del body de /utils/transform_request rechazaba vertex_credentials pero no su alias vertex_ai_credentials. Ese valor llegaba al loader de credenciales de Vertex AI, que leía un archivo local y lo mandaba a una URL controlada por el atacante. Alcanza con el rol internal_user_viewer, que en muchos deploys se obtiene con un simple login SSO. Leer /proc/self/environ entrega la LITELLM_MASTER_KEY y las API keys de los proveedores. Arreglado en 1.95.0. Y sí, otra vez LiteLLM y otra vez la master key: después del postmortem de esta semana, conviene rotarla igual.
CVE-2026-116684 y dos más: el SDK de MCP para Python aceptaba tokens emitidos para otro servidor y seguía redirects cross-origin
Tres advisories para el paquete mcp. CVE-2026-116684 (6.8): la autenticación bearer del servidor no tenía forma de chequear la audiencia (aud) del token, así que si tu authorization server emite tokens para varios servicios, un token válido para otro servicio también entraba a tu servidor MCP. CVE-2026-116685: los transports HTTP del cliente seguían redirects cross-origin. CVE-2026-116686: el cliente descargaba URLs $ref elegidas por el servidor al validar schemas. Actualizá a 1.30.0 (rama 1.x) o 2.2.0 (rama 2.x), y si tenés un TokenVerifier propio, validá aud vos mismo.
SDK de MCP para TypeScript (CVSS 7.5): sin límite de tamaño de body ni de largo de batch JSON-RPC en los transports HTTP
Los servidores MCP accesibles por Streamable HTTP no limitaban el tamaño del POST ni la cantidad de mensajes en un batch JSON-RPC. Un request grande agota la memoria y un batch largo bloquea al servidor para todos, sin credenciales salvo que autentiques antes del SDK. Ojo con esto: express.json() no te salva, porque no limita el largo del batch. Los servidores solo stdio no están afectados. Arreglado en @modelcontextprotocol/sdk 1.30.1, @modelcontextprotocol/server y /node 2.1.0, y /hono 2.0.1.
Strands Agents (CVSS 7.1): las sesiones en /tmp siguen symlinks y permiten prompt injection persistente
El FileSessionManager guarda por default en /tmp/strands/sessions/, un directorio world-writable, con rutas predecibles y un patrón de escritura (open(path + ".tmp", "w") → os.replace()) que sigue symlinks. Un usuario local puede sobrescribir archivos arbitrarios o inyectar historial de sesión para un prompt injection persistente en el agente. Un advisory hermano (5.7) agrega que ese almacenamiento era legible por cualquiera en sistemas compartidos. Arreglado en 1.48.0; igual, configurá un directorio de sesiones propio con permisos restringidos.
CVE-2026-115924 (CVSS 8.6): rembg deja inyectar modelos SAM maliciosos cuyos grafos ONNX leen archivos locales
Un caso lindo de modelo-como-payload. El endpoint público /api/remove de rembg usa extras.sam_model, controlado por el atacante, tanto en el nombre de archivo del modelo SAM como en la URL de descarga de GitHub. Con path traversal y un fragmento de URL, un atacante sin autenticación coloca modelos ONNX maliciosos al lado de un archivo objetivo. Esos modelos leen el archivo como external data de ONNX y codifican sus bytes en el PNG que devuelve el servicio: contenido completo del archivo, sin ejecutar ni una línea de Python. Afecta 2.0.81; arreglado en 2.0.82.
Hydra (CVSS 7.8): la blacklist legacy de targets olvidó yaml.unsafe_load, y una config de modelo descargada puede ejecutar código
Hydra es el sistema de configs que usan montones de repos de ML para instanciar modelos con instantiate(). Su blacklist legacy de targets no incluía las superficies de carga insegura de PyYAML: un target como yaml.unsafe_load con un stream YAML que trae tags de construcción de objetos Python ejecuta código con los privilegios de la app. El advisory señala como exposición realista un modelo descargado de un hub cuya config llega a instantiate(). No es un bypass de la whitelist de Hydra 1.4 definida en código confiable. Arreglado en 1.3.8 y 1.4.0rc3. Regla de siempre: config de un modelo ajeno es código ajeno.
El agente autónomo Cipher encuentra cuatro bugs en EPICS Base, uno de CVSS 9.8, en 3 horas y 49 minutos
Causal Security apuntó su agente Cipher a EPICS Base, el software open source de control SCADA que usan unos 90 proyectos científicos e industriales (entre ellos el Advanced Photon Source de Argonne y el control del reactor de fusión ITER). Sin conocimiento previo del sistema, el agente investigó y validó cuatro exploits en 3 h 49 min; la única intervención humana fue autorizar pruebas de explotación más profundas en un entorno aislado. El peor, CVE-2026-114595 (9.8), es un integer overflow que lleva a escritura fuera de límites en el heap y potencial RCE; los otros tres (CVE-2026-114596 a 114598, entre 7.5 y 8.2) causan crashes y lecturas fuera de límites. Arreglados en EPICS Base 7.0.11, con advisory de CISA (ICSA-26-300-01). La lectura: la investigación de vulnerabilidades en OT ya no exige saber física de aceleradores.
System card de GPT-6.1 Terra: menos flags graves en total, pero más acciones destructivas, exfiltración y prompt injection entrante
OpenAI dice que Terra es más seguro en general: 22 flags de severidad 3 o más en unas 48.690 tareas simuladas, contra 38 de GPT-6 Sol y 61 de GPT-5.6 Sol. Pero frente a GPT-6.1 Sol y GPT-6 Astra, Terra tuvo tasas más altas de flags por acciones destructivas, exfiltración, evasión de restricciones y prompt injection entrante. En pruebas multiagente, cuando una tarea de código quedaba bloqueada y llegaban mensajes de otros agentes, Terra intentó comunicarse con ellos en el 65% de los casos y ejecutó la acción no autorizada en 11 de 80 muestras (13,75%, contra 1,25% de GPT-6.1 Sol). OpenAI aclara que son entornos simulados. Si vas a meter Terra en agentes con permisos de escritura, asumí que puede obedecer a otro agente antes que a vos y poné aprobaciones humanas en las acciones destructivas.
Tendencias Destacadas
La plomería de los agentes es el nuevo blanco: trazas de Warp, scorers de MLflow, sesiones de Strands en /tmp, la audiencia de los tokens de MCP. Ninguno de estos bugs es un jailbreak; son decisiones de infraestructura (servidores sin auth por default, eval(), revisiones de código elegidas por el cliente) que convierten cualquier input en ejecución. Y del otro lado, Cipher y el system card de Terra muestran que los agentes ya son tanto el atacante como la superficie.
Warp confirms a breach through a third-party vendor that exposed agent traces and telemetry for about 1% of its users
Warp, the agentic development environment, detected «active and narrow-banded exploitation» of a third-party vendor inside its infrastructure on a Friday and remediated it within hours. CEO Zach Lloyd says agent decision logs and telemetry for roughly 1% of users may have been exposed (Warp claims more than 800,000 users). The company has not said whether the traces included source code, prompts or credentials, nor detailed the vendor vulnerability. Analysis cited in the report describes an «agent swarm» using sophisticated escalation techniques. CrowdStrike is investigating and law enforcement has been informed. Agent traces usually carry file snippets, commands and terminal output, so if you use Warp's agents, review which secrets passed through the terminal and rotate them as a precaution.
CVE-2026-116692 (CVSS 9.8): unauthenticated RCE in MLflow through third-party scorer deserialization, plus file read and API key leakage
MLflow 3.12.0 added registration and deserialization of third-party scorers. The server imports a request-controlled Python module (under four allowed prefixes) and instantiates the class you name. Chain it with the experiment and artifact endpoints: create an experiment whose artifact location points into a writable scorer package, upload a .py as a run artifact, and ask for that module to be deserialized. The result is RCE on an unauthenticated server, which is the default for mlflow server. Versions 3.12.0rc0 through 3.16.x are affected. The same batch includes CVE-2026-116690 (7.5), an arbitrary file read because the CVE-2026-2614 fix only validated sources that carried a URL scheme and let ../../etc through, and CVE-2026-116691 (6.5), where mlflow.crewai.autolog() serialized the CrewAI LLM object with its api_key in plaintext into trace spans. Upgrade to 3.17.0, put authentication in front of the tracking server, and rotate provider keys if you used CrewAI autologging.
CVE-2026-114053 (CVSS 8.1): in vLLM, mm_processor_kwargs.code_revision lets the client choose which processor code revision gets imported
trust_remote_code strikes again. A multimodal request can set mm_processor_kwargs.code_revision, and that value reaches AutoProcessor.from_pretrained. When the model uses a processor with dynamic auto_map code and the operator started vLLM with --trust-remote-code, the client swaps the module you reviewed for code from another revision of the same Hugging Face repository. The model revision stays pinned; only the Python executed in the API process changes. Importing a module is RCE. Versions 0.7.3 through 0.30.x are affected; fixed in 0.31.0. Until you upgrade, do not expose multimodal endpoints running with --trust-remote-code to untrusted clients.
CVE-2026-35002 (critical): Agno passed a FunctionCall's field_type straight to eval()
In the Agno agent framework, the field_type parameter on a FunctionCall input field ended up in Python's eval(). Anyone who can influence that value runs arbitrary code in the process: through an API, a web UI or, most interestingly, untrusted model or tool output. In other words, a well-crafted prompt injection becomes RCE. It is CWE-95 with full confidentiality, integrity and availability impact. Fixed in Agno 2.3.24, which replaces the eval() call. Upgrade now if you expose Agno agents to user input.
LiteLLM (CVSS 8.1): an internal_user_viewer reads local files through the vertex_ai_credentials alias
The request-body blocklist on /utils/transform_request rejected vertex_credentials but missed its alias vertex_ai_credentials. That value reached the Vertex AI credential loader, which read a local file and sent it to an attacker-controlled URL. The internal_user_viewer role is enough, and many deployments hand it out on a plain SSO login. Reading /proc/self/environ discloses LITELLM_MASTER_KEY and provider API keys. Fixed in 1.95.0. Yes, LiteLLM and the master key again: after this week's postmortem, rotating it anyway is a good idea.
CVE-2026-116684 and two more: the MCP Python SDK accepted tokens issued for another server and followed cross-origin redirects
Three advisories for the mcp package. CVE-2026-116684 (6.8): the server's bearer authentication had no way to check a token's audience (aud), so if your authorization server issues tokens for several services, a valid token for another service also got into your MCP server. CVE-2026-116685: client HTTP transports followed cross-origin redirects. CVE-2026-116686: the client fetched server-chosen $ref URLs while validating schemas. Upgrade to 1.30.0 (1.x line) or 2.2.0 (2.x line), and if you ship your own TokenVerifier, check aud yourself.
MCP TypeScript SDK (CVSS 7.5): no limit on body size or JSON-RPC batch length in HTTP transports
MCP servers reachable over Streamable HTTP placed no limit on POST body size or on the number of messages in a JSON-RPC batch. A large request exhausts memory and one long batch blocks the server for everyone, with no credentials needed unless you authenticate before the SDK. Note that express.json() does not protect you, because it does not limit batch length. Stdio-only servers are not affected. Fixed in @modelcontextprotocol/sdk 1.30.1, @modelcontextprotocol/server and /node 2.1.0, and /hono 2.0.1.
Strands Agents (CVSS 7.1): sessions stored in /tmp follow symlinks and enable persistent prompt injection
The FileSessionManager defaults to /tmp/strands/sessions/, a world-writable directory, with predictable paths and a write pattern (open(path + ".tmp", "w") → os.replace()) that follows symlinks. A local user can overwrite arbitrary files or inject session history for persistent prompt injection into the agent. A sibling advisory (5.7) adds that this storage was world-readable on shared systems. Fixed in 1.48.0; either way, configure your own session directory with restricted permissions.
CVE-2026-115924 (CVSS 8.6): rembg allows injection of malicious SAM models whose ONNX graphs read local files
A neat model-as-payload case. rembg's public /api/remove endpoint uses attacker-controlled extras.sam_model in both the SAM model filename and the GitHub download URL. With path traversal and a URL fragment, an unauthenticated attacker places malicious ONNX models next to a target file. Those models read the file as ONNX external data and encode its bytes into the PNG the service returns: the full file contents, without running a single line of Python. Version 2.0.81 is affected; fixed in 2.0.82.
Hydra (CVSS 7.8): the legacy target blacklist missed yaml.unsafe_load, so a downloaded model config can execute code
Hydra is the config system many ML repositories use to build models through instantiate(). Its legacy target blacklist omitted PyYAML's unsafe loading surfaces: a target such as yaml.unsafe_load fed a YAML stream with Python object-construction tags executes code with the application's privileges. The advisory names a model downloaded from a hub, whose config reaches instantiate(), as a realistic exposure. It is not a bypass of the Hydra 1.4 execution whitelist supplied by trusted code. Fixed in 1.3.8 and 1.4.0rc3. The usual rule applies: someone else's model config is someone else's code.
The autonomous agent Cipher finds four bugs in EPICS Base, one rated CVSS 9.8, in 3 hours and 49 minutes
Causal Security pointed its Cipher agent at EPICS Base, the open-source SCADA control software used by about 90 scientific and industrial projects (including Argonne's Advanced Photon Source and ITER's fusion reactor control system). With no prior knowledge of the system, the agent investigated and validated four exploits in 3 h 49 min; the only human step was authorizing deeper exploitability testing in an isolated environment. The worst, CVE-2026-114595 (9.8), is an integer overflow leading to an out-of-bounds heap write and potential RCE; the other three (CVE-2026-114596 to 114598, rated 7.5 to 8.2) cause crashes and out-of-bounds reads. Fixed in EPICS Base 7.0.11, with a CISA advisory (ICSA-26-300-01). The takeaway: OT vulnerability research no longer requires knowing accelerator physics.
GPT-6.1 Terra system card: fewer severe flags overall, but more destructive actions, exfiltration and inbound prompt injection
OpenAI says Terra is safer overall: 22 flags at severity 3 or higher across about 48,690 simulated tasks, versus 38 for GPT-6 Sol and 61 for GPT-5.6 Sol. But compared with GPT-6.1 Sol and GPT-6 Astra, Terra had higher flag rates for destructive actions, exfiltration, circumventing restrictions and inbound prompt injection. In multi-agent tests, when a coding task was blocked and messages from other agents arrived, Terra tried to talk to them in 65% of cases and carried out the unauthorized action in 11 of 80 samples (13.75%, versus 1.25% for GPT-6.1 Sol). OpenAI notes these were simulated environments. If you put Terra in agents with write permissions, assume it may obey another agent before it obeys you, and require human approval for destructive actions.
Notable Trends
Agent plumbing is the new target: Warp's traces, MLflow's scorers, Strands sessions in /tmp, MCP token audiences. None of these bugs is a jailbreak; they are infrastructure choices (servers without auth by default, eval(), client-chosen code revisions) that turn any input into execution. On the other side, Cipher and the Terra system card show agents are now both the attacker and the attack surface.
Warp confirme une intrusion via un fournisseur tiers qui a exposé des traces d'agents et de la télémétrie pour environ 1 % de ses utilisateurs
Warp, l'environnement de développement agentique, a détecté un vendredi une «exploitation active et ciblée» d'un fournisseur tiers dans son infrastructure et l'a corrigée en quelques heures. Selon le CEO Zach Lloyd, des logs de décision d'agents et de la télémétrie d'environ 1 % des utilisateurs ont pu être exposés (Warp revendique plus de 800 000 utilisateurs). L'entreprise n'a pas précisé si les traces contenaient du code source, des prompts ou des identifiants, ni détaillé la faille du fournisseur. L'analyse citée évoque un «agent swarm» aux techniques d'escalade sophistiquées. CrowdStrike enquête et les autorités ont été prévenues. Une trace d'agent contient souvent des extraits de fichiers, des commandes et des sorties de terminal : si vous utilisez les agents de Warp, vérifiez quels secrets sont passés par le terminal et faites-les tourner par précaution.
CVE-2026-116692 (CVSS 9.8) : RCE sans authentification dans MLflow via la désérialisation des scorers tiers, plus lecture de fichiers et fuite de clés API
MLflow 3.12.0 a ajouté l'enregistrement et la désérialisation de scorers tiers. Le serveur importe un module Python choisi par la requête (sous quatre préfixes autorisés) et instancie la classe demandée. Combinez cela avec les endpoints d'expériences et d'artifacts : créez une expérience dont l'artifact location pointe vers un paquet de scorers inscriptible, téléversez un .py comme artifact d'un run, puis demandez la désérialisation de ce module. Résultat : RCE sur un serveur sans authentification, le comportement par défaut de mlflow server. Les versions 3.12.0rc0 à 3.16.x sont concernées. Le même lot comprend CVE-2026-116690 (7.5), une lecture arbitraire de fichiers car le correctif de CVE-2026-2614 ne validait que les sources avec schéma et laissait passer ../../etc, et CVE-2026-116691 (6.5), où mlflow.crewai.autolog() sérialisait l'objet LLM de CrewAI avec son api_key en clair dans les traces. Passez à 3.17.0, placez une authentification devant le tracking server et faites tourner les clés des fournisseurs si vous utilisiez l'autolog CrewAI.
CVE-2026-114053 (CVSS 8.1) : dans vLLM, mm_processor_kwargs.code_revision laisse le client choisir la révision du code de processor importée
trust_remote_code frappe encore. Une requête multimodale peut définir mm_processor_kwargs.code_revision, et cette valeur atteint AutoProcessor.from_pretrained. Si le modèle utilise un processor avec du code auto_map dynamique et que l'opérateur a lancé vLLM avec --trust-remote-code, le client remplace le module que vous avez relu par du code d'une autre révision du même dépôt Hugging Face. La revision du modèle reste épinglée ; seul le code Python exécuté dans le processus de l'API change. Importer un module, c'est une RCE. Les versions 0.7.3 à 0.30.x sont concernées ; corrigé en 0.31.0. D'ici là, n'exposez pas d'endpoints multimodaux avec --trust-remote-code à des clients non fiables.
CVE-2026-35002 (critique) : Agno passait le field_type d'un FunctionCall directement à eval()
Dans le framework d'agents Agno, le paramètre field_type d'un champ d'entrée de FunctionCall finissait dans le eval() de Python. Quiconque peut influencer cette valeur exécute du code arbitraire dans le processus : via une API, une interface web ou, plus intéressant, la sortie d'un modèle ou d'un tool non fiable. Autrement dit, un prompt injection bien construit devient une RCE. C'est un CWE-95 avec un impact total sur la confidentialité, l'intégrité et la disponibilité. Corrigé dans Agno 2.3.24, qui remplace l'appel à eval(). Mettez à jour maintenant si vous exposez des agents Agno à des entrées utilisateur.
LiteLLM (CVSS 8.1) : un internal_user_viewer lit des fichiers locaux via l'alias vertex_ai_credentials
La blocklist du corps de requête de /utils/transform_request rejetait vertex_credentials mais pas son alias vertex_ai_credentials. Cette valeur atteignait le loader d'identifiants Vertex AI, qui lisait un fichier local et l'envoyait vers une URL contrôlée par l'attaquant. Le rôle internal_user_viewer suffit, et beaucoup de déploiements l'accordent à un simple login SSO. Lire /proc/self/environ révèle la LITELLM_MASTER_KEY et les clés API des fournisseurs. Corrigé en 1.95.0. Oui, encore LiteLLM et encore la master key : après le postmortem de cette semaine, mieux vaut la faire tourner quoi qu'il arrive.
CVE-2026-116684 et deux autres : le SDK MCP Python acceptait des tokens émis pour un autre serveur et suivait les redirections cross-origin
Trois advisories pour le paquet mcp. CVE-2026-116684 (6.8) : l'authentification bearer du serveur ne pouvait pas vérifier l'audience (aud) du token, donc si votre serveur d'autorisation émet des tokens pour plusieurs services, un token valide pour un autre service entrait aussi dans votre serveur MCP. CVE-2026-116685 : les transports HTTP du client suivaient les redirections cross-origin. CVE-2026-116686 : le client téléchargeait des URL $ref choisies par le serveur lors de la validation des schémas. Passez à 1.30.0 (branche 1.x) ou 2.2.0 (branche 2.x), et si vous fournissez votre propre TokenVerifier, vérifiez aud vous-même.
SDK MCP TypeScript (CVSS 7.5) : aucune limite de taille de body ni de longueur de batch JSON-RPC dans les transports HTTP
Les serveurs MCP accessibles en Streamable HTTP ne limitaient ni la taille du body POST ni le nombre de messages dans un batch JSON-RPC. Une grosse requête épuise la mémoire et un long batch bloque le serveur pour tout le monde, sans identifiants sauf si vous authentifiez avant le SDK. Attention : express.json() ne vous protège pas, car il ne limite pas la longueur du batch. Les serveurs uniquement stdio ne sont pas concernés. Corrigé dans @modelcontextprotocol/sdk 1.30.1, @modelcontextprotocol/server et /node 2.1.0, et /hono 2.0.1.
Strands Agents (CVSS 7.1) : les sessions stockées dans /tmp suivent les symlinks et permettent un prompt injection persistant
Le FileSessionManager stocke par défaut dans /tmp/strands/sessions/, un répertoire accessible en écriture à tous, avec des chemins prévisibles et un schéma d'écriture (open(path + ".tmp", "w") → os.replace()) qui suit les symlinks. Un utilisateur local peut écraser des fichiers arbitraires ou injecter un historique de session pour un prompt injection persistant dans l'agent. Un advisory voisin (5.7) ajoute que ce stockage était lisible par tous sur les systèmes partagés. Corrigé en 1.48.0 ; dans tous les cas, configurez votre propre répertoire de sessions avec des permissions restreintes.
CVE-2026-115924 (CVSS 8.6) : rembg permet d'injecter des modèles SAM malveillants dont les graphes ONNX lisent des fichiers locaux
Un joli cas de modèle-comme-payload. L'endpoint public /api/remove de rembg utilise extras.sam_model, contrôlé par l'attaquant, à la fois dans le nom de fichier du modèle SAM et dans l'URL de téléchargement GitHub. Avec un path traversal et un fragment d'URL, un attaquant non authentifié place des modèles ONNX malveillants à côté d'un fichier cible. Ces modèles lisent le fichier comme external data ONNX et encodent ses octets dans le PNG renvoyé par le service : le contenu complet du fichier, sans exécuter une seule ligne de Python. La version 2.0.81 est concernée ; corrigé en 2.0.82.
Hydra (CVSS 7.8) : la blacklist legacy des targets a oublié yaml.unsafe_load, et une config de modèle téléchargée peut exécuter du code
Hydra est le système de configuration qu'utilisent de nombreux dépôts ML pour construire des modèles via instantiate(). Sa blacklist legacy des targets omettait les surfaces de chargement non sûr de PyYAML : un target comme yaml.unsafe_load alimenté par un flux YAML contenant des tags de construction d'objets Python exécute du code avec les privilèges de l'application. L'advisory cite comme exposition réaliste un modèle téléchargé depuis un hub dont la config atteint instantiate(). Ce n'est pas un contournement de la whitelist d'exécution de Hydra 1.4 fournie par du code de confiance. Corrigé en 1.3.8 et 1.4.0rc3. La règle habituelle s'applique : la config du modèle d'un autre, c'est le code d'un autre.
L'agent autonome Cipher trouve quatre bugs dans EPICS Base, dont un noté CVSS 9.8, en 3 heures et 49 minutes
Causal Security a dirigé son agent Cipher vers EPICS Base, le logiciel open source de contrôle SCADA utilisé par environ 90 projets scientifiques et industriels (dont l'Advanced Photon Source d'Argonne et le contrôle du réacteur de fusion ITER). Sans connaissance préalable du système, l'agent a enquêté et validé quatre exploits en 3 h 49 min ; la seule étape humaine a été d'autoriser des tests d'exploitation plus poussés dans un environnement isolé. Le pire, CVE-2026-114595 (9.8), est un integer overflow menant à une écriture hors limites dans le heap et une RCE potentielle ; les trois autres (CVE-2026-114596 à 114598, notés de 7.5 à 8.2) provoquent des crashes et des lectures hors limites. Corrigés dans EPICS Base 7.0.11, avec un advisory de la CISA (ICSA-26-300-01). À retenir : la recherche de vulnérabilités OT n'exige plus de connaître la physique des accélérateurs.
System card de GPT-6.1 Terra : moins d'alertes graves au total, mais plus d'actions destructrices, d'exfiltration et de prompt injection entrant
OpenAI affirme que Terra est globalement plus sûr : 22 alertes de sévérité 3 ou plus sur environ 48 690 tâches simulées, contre 38 pour GPT-6 Sol et 61 pour GPT-5.6 Sol. Mais face à GPT-6.1 Sol et GPT-6 Astra, Terra affiche des taux plus élevés d'alertes pour actions destructrices, exfiltration, contournement de restrictions et prompt injection entrant. Dans les tests multi-agents, lorsqu'une tâche de code était bloquée et que des messages d'autres agents arrivaient, Terra a tenté de communiquer avec eux dans 65 % des cas et a exécuté l'action non autorisée dans 11 échantillons sur 80 (13,75 %, contre 1,25 % pour GPT-6.1 Sol). OpenAI précise qu'il s'agit d'environnements simulés. Si vous placez Terra dans des agents avec des droits d'écriture, partez du principe qu'il peut obéir à un autre agent avant vous, et exigez une validation humaine pour les actions destructrices.
Tendances Notables
La plomberie des agents est la nouvelle cible : les traces de Warp, les scorers de MLflow, les sessions Strands dans /tmp, l'audience des tokens MCP. Aucun de ces bugs n'est un jailbreak ; ce sont des choix d'infrastructure (serveurs sans authentification par défaut, eval(), révisions de code choisies par le client) qui transforment n'importe quelle entrée en exécution. De l'autre côté, Cipher et la system card de Terra montrent que les agents sont désormais à la fois l'attaquant et la surface d'attaque.