123 Reg notifica a clientes por un «ataque impulsado por IA» con skills y ARTEX alojados en infraestructura china
El registrador británico 123 Reg dice que el 18 de septiembre sufrió su primer ataque conocido impulsado por IA, y recién ahora está mandando las notificaciones. El atacante leyó, y probablemente copió, nombres, teléfonos, países, preferencias, VAT de empresas y productos contratados a través de una API. La empresa encontró en infraestructura china skills de ataque, entre ellas copias de skills open source de Anthropic, más frameworks de explotación, y cree que se usó ARTEX, la herramienta china de pentesting agéntico. Sospecha de un actor ligado a China (IPs en China y Singapur), pero no es una atribución confirmada. No se informó cuántos clientes fueron afectados. Ojo con esto: con estos datos el phishing dirigido es trivial. Activá 2SV y desconfiá de cualquier mail o llamada que diga ser de 123 Reg.
CVE-2026-117574 (CVSS 9.1): el AI gateway de Red Hat OpenShift AI inyecta las API keys de otro tenant
En ai-gateway-payload-processing de Red Hat OpenShift AI, un usuario autenticado puede poner el ID de modelo de otro tenant en el body o en un header. El servicio no verifica autorización: busca las API keys de ese tenant en un store compartido y las inyecta en el request. Resultado: consumís los recursos y la cuota de LLM de otro. Es CWE-639 clásico (clave controlada por el usuario). Red Hat lo marca como «Important» y todavía no publicó versiones corregidas ni workaround en la ficha. Si tenés RHOAI multi-tenant, seguí el Bugzilla 2494861 y monitoreá el consumo por tenant.
CVE-2026-115912 y CVE-2026-115915: vLLM 0.32.0 cierra un pickle.loads() vía SHM forjado y una RCE vía Ghostscript, más 6 CVEs
Otra tanda grande para vLLM. La peor, CVE-2026-115912 (CVSS 7.5): con --mm-processor-cache-type shm, un caller autenticado forja el par address/monotonic_id del cache multimodal y hace que el worker llegue a pickle.loads() sobre bytes que él mismo dejó en el ring buffer. Todo por rutas HTTP públicas y sin VLLM_ALLOW_INSECURE_SERIALIZATION. CVE-2026-115915 (8.1): ImageMediaIO deja que Pillow autodetecte el formato, así que un EPS etiquetado como image/png llega a Ghostscript y, con un Ghostscript vulnerable a CVE-2024-29510, ejecuta comandos. Completan el lote: bypass de trust_request_chat_template en /v1/responses, DoS por Jinja2 sin límites, OOM con audio en Phi-4, crash con DeepSeek-OCR, un token ID fuera de vocabulario que dispara un assert de CUDA y CORS abierto por default. Actualizá a 0.32.0.
CVE-2026-118668 (CVSS 8.6): con auth custom en JS/TS, LangGraph API ignoraba el namespace reescrito y exponía el Store de otros usuarios
En langgraph-api 0.1.2 a 0.14.x, los deployments con autenticación custom en JavaScript o TypeScript podían no aplicar los cambios de autorización que devolvía el handler del Store. Si tu handler restringía a cada usuario reescribiendo el namespace pedido, un usuario común podía leer datos de otros. Los handlers en Python no están afectados, y tampoco los que rechazan el request en vez de reescribirlo. Mismo día salieron dos más del ecosistema: el SDK v3 no codificaba identificadores en el streaming (redirección de GETs autenticados, CVE-2026-118667) y langgraph deploy --verbose imprimía el token del registry (CVE-2026-115885). Actualizá a langgraph-api 0.15.0.
CVE-2026-116575 (CVSS 6.3): en Mem0, un run_id con & y = lee el historial de conversación de otro usuario
_build_session_scope() arma la clave de scope juntando user_id, agent_id y run_id con & y = sin escapar, y la única validación rechaza strings vacíos. Esa clave se usa como match exacto en SQLite para traer los últimos 10 mensajes crudos. Con solo controlar tu propio run_id podés fabricar la clave de otro tenant y que esos mensajes entren en tu contexto. Es el mismo patrón que vimos la semana pasada con los namespaces de LangGraph: memoria de agentes multi-tenant con claves concatenadas a mano. Actualizá a mem0ai 2.0.18 o 3.1.6.
CVE-2026-115920 y tres más: ONNX 1.22.0 corrige lecturas fuera de límites y DoS con modelos manipulados
Cuatro advisories de ONNX, todos medium. CVE-2026-115920 (6.2): un modelo con un peso de ConvTranspose de menos de tres dimensiones y sin kernel_shape pasa onnx.checker.check_model() y hace segfault en infer_shapes(). Los otros: lectura fuera de límites en la inferencia de RNN/GRU/LSTM de opsets viejos (CVE-2026-115919), null pointer en Scan (CVE-2026-115921) y expansión sin control de tensores sub-byte (CVE-2026-115922). Ojo con esto: check_model() no es una frontera de seguridad. Si procesás modelos de terceros, hacelo en un proceso aislado y actualizá a onnx 1.22.0.
CVE-2026-115415: un prompt manipulado apaga el enmascarado de secretos del environment tool de Strands Agents Tools
En strands-agents-tools 0.1.0 a 0.8.5, el environment tool enmascaraba los secretos, pero esa protección se podía desactivar con un prompt manipulado. Resultado: un actor remoto lee en texto plano las variables de entorno del host del agente, incluidas credenciales de cloud y API keys (CWE-1427, CVSS 6.5 v3.1 / 5.9 v4). AWS lo publicó en su boletín 2026-154. La lección es vieja pero sigue vigente: un guardrail que el modelo puede apagar no es un guardrail. Actualizá a 0.8.6 y rotá las credenciales que estuvieron en el entorno de agentes que cargaban esa tool.
mcp-sanitizer (CVSS 8.2): localhost con puerto o IPv6 entre corchetes esquiva el filtro SSRF de las tools de MCP
mcp-sanitizer existe justamente para filtrar parámetros de tools MCP como web_fetch o web_scraper antes de hacer requests salientes. En la 1.3.3, http://localhost:8080/ o http://[::1]:8080/ pasaban el filtro, así que una URL que mete el atacante (por ejemplo vía prompt injection) llega a servicios internos y devuelve su respuesta al modelo. Un segundo advisory del mismo día muestra que el sanitizer de rutas aceptaba cualquier ruta absoluta dentro del home. Sin CVE asignado por ahora. Actualizá a 1.4.0 y no uses un sanitizer como única defensa: restringí la salida de red a nivel de host.
Cisco libera Project Quarry, un motor de reglas estilo YARA/Snort para detectar sesiones de agentes maliciosas
Cisco publicó Project Quarry en github.com/cisco-ai-defense/project-quarry. En vez de mirar cada prompt o tool call por separado, evalúa la sesión completa del agente: leer un archivo sensible y después mandar datos afuera pueden ser legítimos por separado, pero juntos dentro de una ventana de tiempo huelen a exfiltración. Las reglas tienen header, contenido a matchear y metadata, como en YARA o Snort, y cubren conversaciones single y multi-turn, tool use, MCP e inputs multimodales. Trae plugins para Claude Code, Codex y otros agentes compatibles con MCP, más un pack inicial de reglas. Cisco aclara que no reemplaza el monitoreo de chain-of-thought ni la supervisión humana. Revisá la licencia en el repo antes de adoptarlo.
Tendencias Destacadas
El aislamiento entre tenants es el bug del día: OpenShift AI entrega las API keys de otro tenant, LangGraph ignora el namespace reescrito y Mem0 arma claves de scope concatenando strings. Cuando la memoria y las credenciales de los agentes viven en stores compartidos, cada clave armada a mano es un IDOR esperando pasar.
Las defensas que dependen del modelo o de un filtro de strings siguen cayendo: un prompt apaga el enmascarado de Strands y un puerto explícito esquiva mcp-sanitizer. Del otro lado aparece la detección a nivel de sesión (Quarry), justo cuando 123 Reg suma otro caso de ataque armado con skills y frameworks agénticos.
123 Reg notifies customers of an «AI-driven cyberattack» built on skills and ARTEX hosted on Chinese infrastructure
UK registrar 123 Reg says it suffered its first known AI-driven attack on 18 September and is only now sending notifications. The attacker read, and likely copied, names, phone numbers, countries, preferences, company VAT numbers and products on accounts through an API. The company found attack skills on Chinese infrastructure, including copies of skills Anthropic open sourced, plus exploitation frameworks, and believes ARTEX, the Chinese agentic pentesting tool, was used. It suspects a China-nexus actor (IPs in China and Singapore), but that attribution is not confirmed. The number of affected customers was not disclosed. This data makes targeted phishing trivial: enable 2SV and distrust any email or call claiming to be from 123 Reg.
CVE-2026-117574 (CVSS 9.1): Red Hat OpenShift AI's AI gateway injects another tenant's API keys
In Red Hat OpenShift AI's ai-gateway-payload-processing, an authenticated user can put another tenant's model ID in the body or a header. The service performs no authorization check: it fetches that tenant's API keys from a shared store and injects them into the request, so the attacker spends someone else's LLM resources and quota. It is textbook CWE-639 (user-controlled key). Red Hat rates it Important and the advisory lists no fixed versions or workaround yet. If you run multi-tenant RHOAI, track Bugzilla 2494861 and watch per-tenant usage.
CVE-2026-115912 and CVE-2026-115915: vLLM 0.32.0 closes a pickle.loads() via forged SHM and a Ghostscript RCE path, plus 6 more CVEs
Another big batch for vLLM. The worst, CVE-2026-115912 (CVSS 7.5): with --mm-processor-cache-type shm, an authenticated caller forges the multimodal cache's address/monotonic_id pair and drives the worker into pickle.loads() on bytes it staged in the ring buffer, all over public HTTP routes and without VLLM_ALLOW_INSECURE_SERIALIZATION. CVE-2026-115915 (8.1): ImageMediaIO lets Pillow autodetect the format, so an EPS labelled image/png reaches Ghostscript and, on a host with Ghostscript vulnerable to CVE-2024-29510, executes commands. The rest of the batch: a trust_request_chat_template bypass on /v1/responses, unbounded Jinja2 rendering DoS, Phi-4 audio OOM, a DeepSeek-OCR crash, an out-of-vocabulary token ID tripping a CUDA assert, and wildcard CORS by default. Upgrade to 0.32.0.
CVE-2026-118668 (CVSS 8.6): with JS/TS custom auth, LangGraph API ignored the rewritten namespace and exposed other users' Store data
In langgraph-api 0.1.2 through 0.14.x, deployments using JavaScript or TypeScript custom authentication could fail to apply the authorization changes returned by the Store handler. If your handler confined each user by rewriting the requested namespace, an ordinary user could read other users' data. Python handlers are not affected, nor are handlers that reject the request instead of rewriting it. Two more landed the same day: the v3 SDK did not encode identifiers in streaming URLs (redirecting authenticated GETs, CVE-2026-118667) and langgraph deploy --verbose printed the registry push token (CVE-2026-115885). Upgrade to langgraph-api 0.15.0.
CVE-2026-116575 (CVSS 6.3): in Mem0, a run_id containing & and = reads another user's conversation history
_build_session_scope() builds the scope key by joining user_id, agent_id and run_id with unescaped & and =, and the only validation rejects empty strings. That key is an exact-match SQLite lookup for the last 10 raw messages. Controlling only your own run_id, you can forge another tenant's key and pull their messages into your context. It is the same pattern as last week's LangGraph namespace bug: multi-tenant agent memory keyed by hand-concatenated strings. Upgrade to mem0ai 2.0.18 or 3.1.6.
CVE-2026-115920 and three more: ONNX 1.22.0 fixes out-of-bounds reads and DoS from crafted models
Four ONNX advisories, all medium. CVE-2026-115920 (6.2): a model with a ConvTranspose weight of fewer than three dimensions and no kernel_shape passes onnx.checker.check_model() and segfaults in infer_shapes(). The others: an out-of-bounds read in old-opset RNN/GRU/LSTM inference (CVE-2026-115919), a null pointer in Scan (CVE-2026-115921) and unchecked expansion of packed sub-byte tensors (CVE-2026-115922). check_model() is not a security boundary: process third-party models in an isolated process and upgrade to onnx 1.22.0.
CVE-2026-115415: a crafted prompt switches off secret masking in the Strands Agents Tools environment tool
In strands-agents-tools 0.1.0 through 0.8.5, the environment tool masked secrets, but a crafted prompt could switch that masking off. A remote actor then reads the agent host's environment variables in cleartext, cloud credentials and API keys included (CWE-1427, CVSS 6.5 v3.1 / 5.9 v4). AWS published it as security bulletin 2026-154. The old lesson still holds: a guardrail the model can disable is not a guardrail. Upgrade to 0.8.6 and rotate any credentials present in the environment of agents that loaded the tool.
mcp-sanitizer (CVSS 8.2): localhost with a port or bracketed IPv6 slips past the SSRF filter for MCP tools
mcp-sanitizer exists precisely to vet MCP tool parameters such as web_fetch or web_scraper before outbound requests. In 1.3.3, http://localhost:8080/ or http://[::1]:8080/ passed the filter, so an attacker-supplied URL (for example via prompt injection) reaches internal services and returns their response to the model. A second advisory the same day shows the path sanitizer accepted any absolute path inside the user's home. No CVE assigned yet. Upgrade to 1.4.0 and do not rely on a sanitizer alone: restrict egress at the host level.
Cisco open sources Project Quarry, a YARA/Snort-style rule engine for spotting malicious agent sessions
Cisco published Project Quarry at github.com/cisco-ai-defense/project-quarry. Instead of judging each prompt or tool call alone, it evaluates the whole agent session: reading a sensitive file and then sending data out may each be legitimate, but together inside a time window they look like exfiltration. Rules have a header, content to match and metadata, much like YARA or Snort, and cover single- and multi-turn conversations, tool use, MCP and multimodal inputs. It ships plugins for Claude Code, Codex and other MCP-compatible agents plus a starter rule pack. Cisco stresses it does not replace chain-of-thought monitoring or human oversight. Check the license in the repository before adopting it.
Notable Trends
Tenant isolation is the bug of the day: OpenShift AI hands over another tenant's API keys, LangGraph ignores the rewritten namespace and Mem0 builds scope keys by concatenating strings. When agent memory and credentials live in shared stores, every hand-built key is an IDOR waiting to happen.
Defenses that rely on the model or on string filters keep failing: a prompt disables Strands' masking and an explicit port slips past mcp-sanitizer. On the other side, session-level detection (Quarry) arrives just as 123 Reg adds another case of an attack built from agent skills and agentic frameworks.
123 Reg informe ses clients d'une «cyberattaque pilotée par IA» reposant sur des skills et ARTEX hébergés en Chine
Le registraire britannique 123 Reg indique avoir subi le 18 septembre sa première attaque connue pilotée par IA, et n'envoie les notifications que maintenant. L'attaquant a lu, et probablement copié, noms, numéros de téléphone, pays, préférences, numéros de TVA et produits souscrits via une API. L'entreprise a trouvé sur une infrastructure chinoise des skills d'attaque, dont des copies de skills publiés par Anthropic, ainsi que des frameworks d'exploitation, et pense que ARTEX, l'outil chinois de pentest agentique, a été utilisé. Elle soupçonne un acteur lié à la Chine (IP en Chine et à Singapour), sans attribution confirmée. Le nombre de clients touchés n'a pas été communiqué. Ces données facilitent le phishing ciblé : activez la 2SV et méfiez-vous de tout message se réclamant de 123 Reg.
CVE-2026-117574 (CVSS 9.1) : la passerelle IA de Red Hat OpenShift AI injecte les clés API d'un autre tenant
Dans ai-gateway-payload-processing de Red Hat OpenShift AI, un utilisateur authentifié peut indiquer l'ID de modèle d'un autre tenant dans le corps ou un en-tête. Aucune autorisation n'est vérifiée : le service récupère les clés API de ce tenant dans un store partagé et les injecte dans la requête, ce qui consomme les ressources et le quota LLM d'autrui. C'est un CWE-639 classique. Red Hat le classe Important et la fiche n'indique encore ni version corrigée ni contournement. En RHOAI multi-tenant, suivez le Bugzilla 2494861 et surveillez la consommation par tenant.
CVE-2026-115912 et CVE-2026-115915 : vLLM 0.32.0 corrige un pickle.loads() via SHM forgé et une RCE via Ghostscript, plus 6 CVE
Encore un gros lot pour vLLM. Le pire, CVE-2026-115912 (CVSS 7.5) : avec --mm-processor-cache-type shm, un appelant authentifié forge la paire address/monotonic_id du cache multimodal et amène le worker à exécuter pickle.loads() sur des octets qu'il a placés dans le ring buffer, via des routes HTTP publiques et sans VLLM_ALLOW_INSECURE_SERIALIZATION. CVE-2026-115915 (8.1) : ImageMediaIO laisse Pillow détecter le format, donc un EPS étiqueté image/png atteint Ghostscript et, avec un Ghostscript vulnérable à CVE-2024-29510, exécute des commandes. Le reste du lot : contournement de trust_request_chat_template sur /v1/responses, DoS par rendu Jinja2 sans limite, OOM audio Phi-4, crash DeepSeek-OCR, token hors vocabulaire déclenchant un assert CUDA et CORS ouvert par défaut. Passez à 0.32.0.
CVE-2026-118668 (CVSS 8.6) : avec une auth personnalisée JS/TS, LangGraph API ignorait le namespace réécrit et exposait le Store des autres
Dans langgraph-api 0.1.2 à 0.14.x, les déploiements avec authentification personnalisée en JavaScript ou TypeScript pouvaient ne pas appliquer les changements d'autorisation renvoyés par le handler du Store. Si votre handler cloisonnait chaque utilisateur en réécrivant le namespace demandé, un utilisateur ordinaire pouvait lire les données des autres. Les handlers Python ne sont pas concernés, ni ceux qui rejettent la requête. Deux autres le même jour : le SDK v3 n'encodait pas les identifiants dans les URL de streaming (redirection de GET authentifiés, CVE-2026-118667) et langgraph deploy --verbose affichait le token du registry (CVE-2026-115885). Passez à langgraph-api 0.15.0.
CVE-2026-116575 (CVSS 6.3) : dans Mem0, un run_id contenant & et = lit l'historique d'un autre utilisateur
_build_session_scope() construit la clé de scope en joignant user_id, agent_id et run_id avec & et = non échappés, et la seule validation rejette les chaînes vides. Cette clé sert de correspondance exacte en SQLite pour récupérer les 10 derniers messages bruts. En contrôlant seulement votre run_id, vous forgez la clé d'un autre tenant et ses messages entrent dans votre contexte. Même schéma que le bug de namespaces LangGraph de la semaine dernière. Passez à mem0ai 2.0.18 ou 3.1.6.
CVE-2026-115920 et trois autres : ONNX 1.22.0 corrige des lectures hors limites et des DoS via des modèles piégés
Quatre advisories ONNX, toutes medium. CVE-2026-115920 (6.2) : un modèle avec un poids ConvTranspose de moins de trois dimensions et sans kernel_shape passe onnx.checker.check_model() puis provoque un segfault dans infer_shapes(). Les autres : lecture hors limites dans l'inférence RNN/GRU/LSTM des anciens opsets (CVE-2026-115919), pointeur nul dans Scan (CVE-2026-115921) et expansion non contrôlée de tenseurs sub-byte (CVE-2026-115922). check_model() n'est pas une frontière de sécurité : traitez les modèles tiers dans un processus isolé et passez à onnx 1.22.0.
CVE-2026-115415 : un prompt piégé désactive le masquage des secrets de l'outil environment de Strands Agents Tools
Dans strands-agents-tools 0.1.0 à 0.8.5, l'outil environment masquait les secrets, mais un prompt piégé pouvait désactiver ce masquage. Un acteur distant lit alors en clair les variables d'environnement de l'hôte, identifiants cloud et clés API compris (CWE-1427, CVSS 6.5 v3.1 / 5.9 v4). AWS l'a publié dans son bulletin 2026-154. Un garde-fou que le modèle peut désactiver n'en est pas un. Passez à 0.8.6 et faites tourner les identifiants présents dans l'environnement des agents ayant chargé l'outil.
mcp-sanitizer (CVSS 8.2) : localhost avec port ou IPv6 entre crochets contourne le filtre SSRF des outils MCP
mcp-sanitizer sert justement à filtrer les paramètres d'outils MCP comme web_fetch ou web_scraper avant les requêtes sortantes. En 1.3.3, http://localhost:8080/ ou http://[::1]:8080/ passaient le filtre : une URL fournie par l'attaquant (par prompt injection, par exemple) atteint les services internes et renvoie leur réponse au modèle. Un second advisory du même jour montre que le filtre de chemins acceptait n'importe quel chemin absolu dans le home. Pas encore de CVE. Passez à 1.4.0 et ne comptez pas sur un sanitizer seul : limitez les sorties réseau au niveau de l'hôte.
Cisco publie Project Quarry, un moteur de règles façon YARA/Snort pour détecter les sessions d'agents malveillantes
Cisco a publié Project Quarry sur github.com/cisco-ai-defense/project-quarry. Plutôt que de juger chaque prompt ou appel d'outil isolément, il évalue la session complète de l'agent : lire un fichier sensible puis envoyer des données à l'extérieur peut être légitime séparément, mais ensemble dans une fenêtre de temps cela ressemble à de l'exfiltration. Les règles ont un en-tête, un contenu à détecter et des métadonnées, comme YARA ou Snort, et couvrent les conversations simples et multi-tours, l'usage d'outils, MCP et les entrées multimodales. Il fournit des plugins pour Claude Code, Codex et d'autres agents compatibles MCP, plus un pack de règles de départ. Cisco précise qu'il ne remplace ni la surveillance du chain-of-thought ni la supervision humaine. Vérifiez la licence dans le dépôt.
Tendances Notables
L'isolation entre tenants est le bug du jour : OpenShift AI livre les clés API d'un autre tenant, LangGraph ignore le namespace réécrit et Mem0 construit ses clés de scope par concaténation. Quand la mémoire et les identifiants des agents vivent dans des stores partagés, chaque clé construite à la main est un IDOR en puissance.
Les défenses qui reposent sur le modèle ou sur un filtre de chaînes continuent de tomber : un prompt désactive le masquage de Strands et un port explicite contourne mcp-sanitizer. En face, la détection au niveau de la session (Quarry) arrive au moment où 123 Reg ajoute un nouveau cas d'attaque bâtie sur des skills et des frameworks agentiques.