CrowdStrike encuentra logs de Claude Code y ARTEX detrás de los ataques a bancos surcoreanos
CrowdStrike vinculó ataques contra al menos cinco entidades financieras de Corea del Sur (entre ellas Shinhan, KB Kookmin y Hana Bank; Shinhan reporta unos 25.000 clientes afectados) con un operador que usaba Claude Code y ARTEX, una herramienta china open source de pentesting con agentes.
Un directorio expuesto en un server del atacante llevó a otro server en Hong Kong con historiales de sesión, configs y archivos de memoria del agente que documentaban el targeting. Entre los logs apareció hasta un pedido para redactar un CV. Ojo con esto: los artefactos de los agentes (memoria, historial) ya son evidencia forense de primera, para el atacante y para el defensor.
Shai-Hulud salta a infraestructura de IA: el SDK npm de Tensorlake 0.5.144 venía con el worm
La versión 0.5.144 del SDK npm de Tensorlake (plataforma para correr agentes aislados y código generado por IA, ~12.000 descargas semanales) salió con una variante de Shai-Hulud. Socket.dev y SafeDep la marcaron 11 minutos después de publicada; se retiró y se publicó la 0.5.145.
El payload roba wallets, passwords del browser, secrets de GitHub Actions, credenciales cloud y tokens de service accounts, mantiene C2, vigila los tokens robados y puede borrar el home si los revocás. La ironía: el install script corre con permisos plenos antes de que exista el sandbox que el SDK promete. Si la instalaste, reconstruí el sistema desde fuente confiable, desactivá el monitoreo de tokens y recién después rotá credenciales.
CVE-2026-103663: path traversal en /api/pull de Ollama termina en RCE como root (CVSS v4 9.4)
digestToPath no valida los digests de las layers, así que un atacante sin autenticación puede meter una secuencia de traversal como digest en /api/pull y escribir un binario fuera del model store.
En la mayoría de las imágenes Docker de Ollama el proceso puede escribir en /usr/lib/ollama: el archivo se carga en el próximo reinicio y tenés RCE como root. Fix en 0.35.0. Y otra vez: no expongas el puerto de Ollama a la red.
CVE-2026-93034: SGLang deserializa con pickle.loads cualquier mensaje ZMQ (CVSS 9.8)
El decoder de mensajes ZMQ de SGLang deserializa payloads PickleWrapper en _maybe_unwrap_pickle sin allowlist de tipos ni autenticación. El agujero sigue abierto por el camino msgpack aunque desactives SGLANG_USE_PICKLE_IPC.
Pasa a ser explotable remotamente con data-parallel attention y un --dist-init-addr que no sea loopback. Es la clase de bug de siempre en serving de LLMs: pickle sobre IPC. Mantené esos puertos dentro de una red aislada hasta que haya fix.
CVE-2026-61447: el CodeAgent de PraisonAI ejecuta código del LLM sin sandbox y filtra todo el entorno (CVSS 10)
CodeAgent._execute_python() corre el Python generado por el LLM en un subproceso con os.environ.copy(), sin validación AST ni restricción de imports, incluso con CodeConfig(sandbox=True). Cualquier prompt injection en el input, en resultados de tools o en contenido ingerido exfiltra API keys y credenciales cloud y ejecuta código en el host. Fix en praisonaiagents 1.6.78.
Vino en una tanda de más de 20 advisories de PraisonAI el mismo día, entre ellos CVE-2026-61445 (AICoder: escritura de archivos y ejecución de comandos vía tool calls, CVSS 9.9, fix en praisonai 4.6.78), AgentOS en npm escuchando en 0.0.0.0 sin API key (8.6), aprobación human-in-the-loop cacheada por nombre de tool, y un SubprocessSandbox que no aplica ninguna restricción. Si usás PraisonAI, actualizá todo el stack.
CVE-2026-106119: query injection en MongoDBChatMessageHistory de LangChain.js expone historiales ajenos
@langchain/mongodb no forzaba en runtime que el session ID fuera string, así que un objeto se interpretaba como condición de query MongoDB. Si pasás un session ID controlado por el usuario y guardás historiales de varios usuarios en la misma colección, un atacante puede leer, modificar o borrar conversaciones ajenas. CVSS v4 6.0; fix en 1.3.1.
CVE-2026-107295: cualquier web que visites puede disparar el agente de Pydantic AI que corrés en localhost (CVSS 7.6)
La UI de chat de desarrollo (Agent.to_web(), clai web) no chequeaba el content type del endpoint de chat. Una página abierta en tu browser puede mandarle requests al loopback y hacer que el agente corra y ejecute sus tools con tus credenciales: bindear a localhost no te protege. Fix en 1.107.4 y 2.28.0.
Llegó junto a otros diez advisories de Pydantic AI: falta de validación del header Host (DNS rebinding), bypass del blocklist de metadata cloud vía zone IDs IPv6 en el SSRF guard, y contenido sin redactar en OpenTelemetry con include_content=False.
CVE-2026-107717: Banks convierte input de usuario en mensajes system (chat role injection)
Prompt.chat_messages() de la librería de prompts Banks parsea cada línea renderizada como posible ChatMessage JSON. Si el input del usuario renderiza a {"role":"system",...}, sale como mensaje system privilegiado: prompt boundary bypass directo. CVSS 6.5; fix en 2.5.0, que también corrige un symlink traversal en DirectoryPromptRegistry.
Tendencias Destacadas
Los SDKs de sandboxing para agentes son ahora blanco de supply chain: el install script de npm corre antes que cualquier aislamiento.
Las flags de «sandbox» que no hacen nada siguen apareciendo: PraisonAI ignoraba sandbox=True y su SubprocessSandbox no aplicaba políticas.
Localhost no es un perímetro: UIs de agentes locales (Pydantic AI) y servers de modelos (Ollama, SGLang) siguen cayendo por confiar en la red.
CrowdStrike finds Claude Code and ARTEX logs behind attacks on South Korean banks
CrowdStrike tied attacks on at least five South Korean financial institutions (including Shinhan, KB Kookmin and Hana Bank; Shinhan reports about 25,000 affected customers) to an operator using Claude Code and ARTEX, a Chinese-developed open-source agentic pentesting tool.
An exposed directory on an attacker server led to a Hong Kong server holding session histories, configs and agent memory files that documented the targeting. The logs even included a resume-writing request. Agent artifacts (memory, history) are now first-class forensic evidence, for attackers and defenders alike.
Shai-Hulud jumps to AI infrastructure: Tensorlake npm SDK 0.5.144 shipped the worm
Version 0.5.144 of Tensorlake's npm SDK (a platform for running isolated agents and AI-authored code, ~12,000 weekly downloads) shipped a Shai-Hulud variant. Socket.dev and SafeDep flagged it 11 minutes after publication; it was pulled and 0.5.145 released.
The payload steals crypto wallets, browser passwords, GitHub Actions secrets, cloud credentials and service-account tokens, keeps C2, watches the stolen tokens and can wipe the home directory if they are revoked. The irony: the install script runs with full privileges before the sandbox the SDK promises even exists. If you installed it, rebuild from trusted sources, disable the token monitor, then rotate credentials.
CVE-2026-103663: Ollama /api/pull path traversal ends in root RCE (CVSS v4 9.4)
digestToPath does not validate layer digests, so an unauthenticated attacker can pass a traversal sequence as a digest to /api/pull and write a binary outside the model store.
In most Ollama Docker images the process can write to /usr/lib/ollama: the file is loaded on the next restart, giving RCE as root. Fixed in 0.35.0. And once again: do not expose the Ollama port to the network.
CVE-2026-93034: SGLang unpickles any ZMQ message with pickle.loads (CVSS 9.8)
SGLang's ZMQ message decoder unpickles PickleWrapper payloads in _maybe_unwrap_pickle with no type allowlist and no authentication. The hole stays open through the msgpack path even with SGLANG_USE_PICKLE_IPC disabled.
It becomes remotely exploitable with data-parallel attention and a non-loopback --dist-init-addr. Same recurring LLM-serving bug class: pickle over IPC. Keep those ports on an isolated network until a fix lands.
CVE-2026-61447: PraisonAI CodeAgent runs LLM code unsandboxed and leaks the whole environment (CVSS 10)
CodeAgent._execute_python() runs LLM-generated Python in a subprocess with os.environ.copy(), no AST validation and no import restrictions, even with CodeConfig(sandbox=True). Any prompt injection via input, tool results or ingested content exfiltrates API keys and cloud credentials and executes code on the host. Fixed in praisonaiagents 1.6.78.
It came in a batch of 20+ PraisonAI advisories the same day, including CVE-2026-61445 (AICoder arbitrary file write and command execution via tool calls, CVSS 9.9, fixed in praisonai 4.6.78), the npm AgentOS binding 0.0.0.0 with no API key (8.6), human-in-the-loop approval cached by tool name, and a default SubprocessSandbox that enforces nothing. If you run PraisonAI, upgrade the whole stack.
CVE-2026-106119: LangChain.js MongoDBChatMessageHistory query injection exposes other users' histories
@langchain/mongodb did not enforce at runtime that the session ID was a string, so an object was treated as a MongoDB query condition. If you pass a user-controlled session ID and store several users' histories in one collection, an attacker can read, modify or delete other people's conversations. CVSS v4 6.0; fixed in 1.3.1.
CVE-2026-107295: any website you visit can trigger the Pydantic AI agent running on your localhost (CVSS 7.6)
The development chat UI (Agent.to_web(), clai web) did not check the content type on its chat endpoint. A page open in your browser can post to loopback and make the agent run and execute its tools with your credentials: binding to localhost does not protect you. Fixed in 1.107.4 and 2.28.0.
It shipped alongside ten other Pydantic AI advisories: missing Host header validation (DNS rebinding), a cloud-metadata blocklist bypass via IPv6 zone IDs in the SSRF guard, and unredacted content in OpenTelemetry spans with include_content=False.
CVE-2026-107717: Banks turns user input into system messages (chat role injection)
Banks' Prompt.chat_messages() parses every rendered line as a possible ChatMessage JSON. If user input renders to {"role":"system",...}, it comes out as a privileged system message: a straight prompt-boundary bypass. CVSS 6.5; fixed in 2.5.0, which also fixes a symlink traversal in DirectoryPromptRegistry.
Notable Trends
Agent-sandboxing SDKs are now supply-chain targets: the npm install script runs before any isolation exists.
«Sandbox» flags that do nothing keep showing up: PraisonAI ignored sandbox=True and its SubprocessSandbox enforced no policy.
Localhost is not a perimeter: local agent UIs (Pydantic AI) and model servers (Ollama, SGLang) keep falling for trusting the network.
CrowdStrike découvre des logs Claude Code et ARTEX derrière les attaques contre des banques sud-coréennes
CrowdStrike relie des attaques contre au moins cinq institutions financières sud-coréennes (dont Shinhan, KB Kookmin et Hana Bank ; environ 25 000 clients touchés chez Shinhan) à un opérateur utilisant Claude Code et ARTEX, un outil chinois open source de pentest agentique.
Un répertoire exposé a mené à un serveur à Hong Kong contenant historiques de session, configs et fichiers de mémoire d'agent documentant le ciblage.
Shai-Hulud passe à l'infrastructure IA : le SDK npm Tensorlake 0.5.144 contenait le ver
La version 0.5.144 du SDK npm de Tensorlake (plateforme d'exécution isolée d'agents, ~12 000 téléchargements hebdomadaires) contenait une variante de Shai-Hulud, détectée par Socket.dev et SafeDep en 11 minutes ; 0.5.145 la remplace.
Le payload vole wallets, mots de passe, secrets GitHub Actions et identifiants cloud, et peut effacer le répertoire home si les tokens sont révoqués. Reconstruisez les machines touchées avant de faire tourner les secrets.
CVE-2026-103663 : path traversal dans /api/pull d'Ollama menant à une RCE root (CVSS v4 9.4)
digestToPath ne valide pas les digests de layers : un attaquant non authentifié peut écrire un binaire hors du model store via /api/pull. Dans la plupart des images Docker, il atterrit dans /usr/lib/ollama et s'exécute en root au redémarrage. Corrigé en 0.35.0.
CVE-2026-93034 : SGLang désérialise tout message ZMQ avec pickle.loads (CVSS 9.8)
Le décodeur ZMQ de SGLang désérialise les payloads PickleWrapper sans allowlist ni authentification, même avec SGLANG_USE_PICKLE_IPC désactivé (chemin msgpack). Exploitable à distance avec data-parallel attention et un --dist-init-addr non loopback.
CVE-2026-61447 : le CodeAgent de PraisonAI exécute le code du LLM sans sandbox et fuit tout l'environnement (CVSS 10)
CodeAgent._execute_python() exécute le Python généré par le LLM avec tout l'environnement parent et sans aucune restriction, même avec sandbox=True. Une prompt injection suffit pour exfiltrer les secrets. Corrigé en praisonaiagents 1.6.78, au sein d'une série de 20+ advisories PraisonAI dont CVE-2026-61445 (AICoder, CVSS 9.9).
CVE-2026-106119 : injection de requête dans MongoDBChatMessageHistory de LangChain.js
@langchain/mongodb n'imposait pas un session ID de type string : un objet devenait une condition de requête MongoDB, permettant de lire ou supprimer l'historique d'autres utilisateurs. CVSS v4 6.0 ; corrigé en 1.3.1.
CVE-2026-107295 : n'importe quel site peut déclencher l'agent Pydantic AI qui tourne sur votre localhost (CVSS 7.6)
L'UI de chat de dev (Agent.to_web(), clai web) ne vérifiait pas le content type : une page ouverte dans le navigateur peut lancer l'agent local et ses tools avec vos identifiants. Corrigé en 1.107.4 et 2.28.0, avec dix autres advisories Pydantic AI (Host header, bypass SSRF IPv6, OpenTelemetry).
CVE-2026-107717 : Banks transforme l'entrée utilisateur en messages system (role injection)
Prompt.chat_messages() de Banks interprète chaque ligne rendue comme un ChatMessage JSON : une entrée utilisateur peut devenir un message system. CVSS 6.5 ; corrigé en 2.5.0.
Tendances Notables
Les SDK de sandboxing d'agents deviennent des cibles supply chain : le script d'installation npm s'exécute avant toute isolation.
Les options «sandbox» sans effet se multiplient : PraisonAI ignorait sandbox=True.
Localhost n'est pas un périmètre : UIs d'agents locales et serveurs de modèles tombent encore en faisant confiance au réseau.