Secuestraron una sesion viva de asistente de codigo y el gusano Shai-Hulud se comio unos 100 repos
Ojo con esto, porque es el escenario que veniamos anticipando: Mandiant documento un incidente en un proveedor SaaS (sin nombrar) donde el atacante tomo control de una sesion activa de un asistente de codigo con IA. Desde ahi el asistente recomendo un paquete envenenado, el equipo lo acepto, y con ese paquete de PyPI entro un infostealer que se llevo los tokens OAuth de GitHub.
Con esos tokens el gusano Shai-Hulud se propago solo por unos 100 repositorios internos, robando secretos y codigo fuente. Las variantes posteriores barrian 469 ubicaciones en los sistemas de desarrollo buscando credenciales y herramientas.
El punto que importa: el asistente no fue el objetivo, fue el canal de confianza. Si tu agente puede sugerir dependencias y tu pipeline las acepta sin verificar checksums, ya tenes el vector abierto.
La AEPD registra la primera brecha de datos en Espana ejecutada por un agente autonomo
La Agencia Española de Proteccion de Datos reporto la primera brecha de datos personales del pais ejecutada por un agente de IA autonomo. El agente escaneo archivos genericos, hizo su propia evaluacion de vulnerabilidades y consiguio acceso de lectura y escritura a ficheros con datos personales y facturas.
Lo que destaca su presidente, Francisco Perez Bes, es que el atacante uso un LLM para encadenar las distintas fases del ataque — reconocimiento, explotacion, exfiltracion — sin operador humano en el medio de cada paso.
La AEPD pide una revision inmediata de los modelos de seguridad y proteccion de datos, con mecanismos de deteccion y contencion que operen a la velocidad del atacante. Y el recordatorio de siempre: minimizacion de datos, control de accesos y gestion de vulnerabilidades siguen siendo la base.
CVE-2025-59953 — LMDeploy hace pickle.loads() sobre lo que llegue a su servidor RPC (CVSS 9.8)
El clasico que no se muere. AsyncRPCServer en zmq_rpc.py de LMDeploy (InternLM) implementa call_and_response() deserializando los mensajes recibidos con pickle.loads() sin ninguna sanitizacion. Cualquiera que alcance ese socket ZeroMQ ejecuta codigo en el host de inferencia.
GitHub lo puntua critical, CVSS v3.1 9.8. No hace falta autenticacion ni interaccion del usuario: basta con que el servidor RPC este escuchando en una interfaz de red alcanzable, que es exactamente como se despliega en clusters multi-nodo.
Si corres LMDeploy en modo distribuido, la mitigacion inmediata es sacar ese puerto de cualquier red que no controles al 100%.
CVE-2026-57173 — el guard de audio de vLLM solo protege transcriptions, no chat (CVSS 6.5)
vLLM tiene un limite de duracion de decodificacion de audio (max_duration_s, env VLLM_MAX_AUDIO_DECODE_DURATION_S, default 600s) justamente para frenar bombas de descompresion. El detalle: ese guard esta cableado solo en /v1/audio/transcriptions.
La ruta de audio del chat — /v1/chat/completions con partes input_audio — llama al mismo decoder sin ningun limite. Un cliente no autenticado manda unos pocos KB de audio comprimido que se expanden a varios GB de PCM float32 y el worker muere por OOM.
Es el hermano del bomb de frames de video (CVE-2026-5497): mismo patron, endpoint distinto, guard que quedo a mitad de camino. CVSS v3.1 6.5.
CVE-2026-63128 — cada request mal formado deja una sesion inmortal en el SDK rmcp (CVSS 7.5)
El transporte Streamable HTTP de rmcp (el SDK de MCP en Rust) tiene el orden invertido: handle_post asigna la sesion antes de validar el body, y cuando la validacion falla hace early-return sin llamar a close_session.
Resultado: un atacante no autenticado manda un POST JSON-RPC bien formado que no sea InitializeRequest y filtra una entrada permanente de la tabla en memoria de LocalSessionManager. El LocalSessionHandle — con los internos del canal mpsc de tokio — no se libera nunca mas durante la vida del proceso.
Un request de ~250 bytes se convierte en ~400–550 bytes de memoria permanente. Repetilo y tenes DoS por agotamiento. CVSS v3.1 7.5.
Una sola extension con dos permisos comunes manejaba los asistentes de Chrome, Comet, Edge, Opera Neon y Claude
Forever Security (Gal Weizman) mostro que una extension maliciosa con dos permisos que se piden todos los dias puede interceptar los comandos que van al asistente de IA integrado del navegador y manejarlo en nombre del atacante.
El alcance cambia por producto: en Chrome (Gemini Live) llegaba a leer archivos locales y tocar camara y microfono; en Comet, archivos locales mas control del agente; en Edge, Opera Neon y Claude in Chrome, control del agente.
Parcheado en Chrome como CVE-2026-0628 (8.8) en la 143.0.7499.192, y en Edge como CVE-2026-55945 (4.2) en la 150.0.4078.48. Comet, Opera y Claude no asignaron CVE y pagaron unos 20.000 USD en bounties.
La limitacion honesta: la extension ya tiene que estar instalada. Pero el punto es otro — el asistente confiaba en el canal de la extension como si fuera el usuario.
CVE-2026-61560 — el MCP de GitLab lee cualquier archivo sin auth y te regala el PAT (CVSS 9.8)
Cuarto critico de la semana para @zereight/mcp-gitlab, y este es el peor. Dos fallas que encadenan: el modo de transporte SSE (SSE=true) expone todas las tools sin autenticacion, y la tool upload_markdown lee archivos arbitrarios del filesystem local via un parametro file_path sin sanitizar, subiendolos a un proyecto de GitLab.
Encadenadas: cualquier atacante no autenticado con alcance de red lee /proc/self/environ, se lleva el GITLAB_PERSONAL_ACCESS_TOKEN del servidor y toma la cuenta de GitLab entera.
Lo que duele: esta es la configuracion por defecto de los despliegues Docker. CVSS v3.1 9.8.
CVE-2026-63127 — rmcp no valida el campo resource de OAuth y un server MCP malicioso se lleva tus tokens (CVSS 8.2)
La RFC 9728 (OAuth Protected Resource Metadata) marca dos MUST: el cliente debe verificar que la URL usada como prefijo para el request de metadata coincida exactamente con el valor resource devuelto, y si no coincide, abortar.
La libreria rmcp no valida ninguno de los dos. Un servidor MCP malicioso devuelve metadata apuntando a un authorization server legitimo, el flujo OAuth se completa contra ese AS y el token resultante termina en manos del servidor malicioso.
El detalle feo es que el ataque se ve legitimo del lado del usuario: el consentimiento ocurre en un AS real. CVSS v3.1 8.2.
Tendencias Destacadas
El asistente dejo de ser la victima y paso a ser el vector. En los dos incidentes de hoy el modelo no fue vulnerado: se abuso de la confianza que el equipo ya le daba — la recomendacion de un paquete, el canal de una extension del navegador. El threat model tiene que incluir «que puede hacer el agente si alguien mas maneja el volante».
La pila MCP acumula su segunda tanda de criticos en 48 horas: al MCP de GitLab se le suma ahora una lectura de archivos sin auth que es el default de Docker, y el propio SDK en Rust falla en validacion OAuth y en limpieza de sesiones. Los transportes SSE y Streamable HTTP sin autenticacion son el patron repetido.
Dos DoS por recursos no acotados el mismo dia — la bomba de audio de vLLM y la tabla de sesiones de rmcp — comparten raiz: el limite existe, pero solo en una de las rutas que llegan al mismo codigo. Cuando agregas un endpoint nuevo, el guard no viaja solo.
An attacker hijacked a live AI coding-assistant session and Shai-Hulud spread to about 100 repositories
This is the scenario everyone has been forecasting: Mandiant documented an incident at an unnamed SaaS provider where the attacker took over an active AI coding-assistant session. From there the assistant recommended a poisoned package, the team accepted it, and that PyPI package carried an infostealer that lifted the GitHub OAuth tokens.
With those tokens the Shai-Hulud worm spread on its own across roughly 100 internal repositories, stealing repo secrets and source code. Later variants swept 469 locations on developer systems hunting for credentials and tooling.
The point that matters: the assistant was not the target, it was the trust channel. If your agent can suggest dependencies and your pipeline accepts them without checksum verification, the vector is already open.
Spain's AEPD logs the country's first data breach executed by an autonomous AI agent
Spain's data protection agency reported the country's first personal-data breach executed by an autonomous AI agent. The agent scanned generic files, ran its own vulnerability assessment and obtained read/write access to files holding personal data and invoices.
What AEPD president Francisco Perez Bes highlights is that the attacker used an LLM to chain the phases of the attack together — recon, exploitation, exfiltration — without a human operator between each step.
The AEPD calls for an immediate review of security and data-protection models, with detection and containment mechanisms fast enough to match the attacker. And the usual reminder: data minimisation, access control and vulnerability management remain the base.
CVE-2025-59953 — LMDeploy calls pickle.loads() on whatever reaches its RPC server (CVSS 9.8)
The classic that refuses to die. AsyncRPCServer in LMDeploy's zmq_rpc.py (InternLM) implements call_and_response() by deserializing incoming messages with pickle.loads() with no sanitization at all. Anyone who can reach that ZeroMQ socket executes code on the inference host.
GitHub rates it critical, CVSS v3.1 9.8. No authentication, no user interaction: the RPC server just has to be listening on a reachable network interface, which is exactly how multi-node deployments run it.
If you run LMDeploy in distributed mode, the immediate mitigation is getting that port off any network you do not fully control.
CVE-2026-57173 — vLLM's audio guard only covers transcriptions, not chat (CVSS 6.5)
vLLM has an audio decode-duration limit (max_duration_s, env VLLM_MAX_AUDIO_DECODE_DURATION_S, default 600s) precisely to stop decompression bombs. The catch: that guard is wired into /v1/audio/transcriptions only.
The chat audio path — /v1/chat/completions with input_audio content parts — calls the same decoder with no limit at all. An unauthenticated client submits a few KB of compressed audio that expands into multiple GB of float32 PCM, and the worker gets OOM-killed.
It is the sibling of the video frame-count bomb (CVE-2026-5497): same pattern, different endpoint, a guard that only made it halfway. CVSS v3.1 6.5.
CVE-2026-63128 — every malformed request leaks an immortal session in the rmcp SDK (CVSS 7.5)
The Streamable HTTP transport in rmcp (the Rust MCP SDK) has the order backwards: handle_post allocates the session before validating the body, and on a validation failure it early-returns without calling close_session.
The result: an unauthenticated attacker sends a well-formed JSON-RPC POST that is not an InitializeRequest and leaks one permanent entry from LocalSessionManager's in-memory session table. The LocalSessionHandle — and the tokio mpsc channel internals it holds — is never released for the rest of the process's lifetime.
A ~250-byte request turns into ~400–550 bytes of permanent memory. Repeat until exhaustion DoS. CVSS v3.1 7.5.
One extension with two common permissions could drive the AI assistants in Chrome, Comet, Edge, Opera Neon and Claude
Forever Security (Gal Weizman) showed that a malicious extension holding two permissions people grant every day can intercept the commands going to the browser's built-in AI assistant and drive it on the attacker's behalf.
Reach varies by product: on Chrome (Gemini Live) it could read local files and touch camera and microphone; on Comet, local files plus agent control; on Edge, Opera Neon and Claude in Chrome, agent control.
Patched in Chrome as CVE-2026-0628 (8.8) in 143.0.7499.192, and in Edge as CVE-2026-55945 (4.2) in 150.0.4078.48. Comet, Opera and Claude assigned no CVE and paid around $20,000 in bounties.
The honest limitation: the extension has to be installed already. But the lesson is elsewhere — the assistant trusted the extension channel as if it were the user.
CVE-2026-61560 — the GitLab MCP server reads any file unauthenticated and hands over the PAT (CVSS 9.8)
Fourth critical of the week for @zereight/mcp-gitlab, and this one is the worst. Two flaws chain together: the SSE transport mode (SSE=true) exposes every MCP tool with no authentication, and the upload_markdown tool reads arbitrary files from the local filesystem through an unsanitized file_path parameter, uploading them to a GitLab project.
Chained: any unauthenticated, network-reachable attacker reads /proc/self/environ, steals the server's GITLAB_PERSONAL_ACCESS_TOKEN and achieves full GitLab account takeover.
The part that hurts: this is the default configuration for Docker deployments. CVSS v3.1 9.8.
CVE-2026-63127 — rmcp skips OAuth resource validation, so a malicious MCP server steals your tokens (CVSS 8.2)
RFC 9728 (OAuth Protected Resource Metadata) states two MUSTs: the client must verify that the URL it used as the prefix for the metadata request exactly matches the returned resource value, and abort if it does not.
The rmcp library validates neither. A malicious MCP server returns metadata pointing at a legitimate authorization server, the OAuth flow completes against that real AS, and the resulting access token lands with the malicious server.
The ugly part is that it looks legitimate from the user's side: consent happens on a real AS. CVSS v3.1 8.2.
Notable Trends
The assistant stopped being the victim and became the vector. In both of today's incidents the model was never broken: what got abused was the trust the team already extended to it — a package recommendation, a browser extension's channel. The threat model has to include «what can the agent do if someone else is steering».
The MCP stack racks up its second batch of criticals in 48 hours: the GitLab MCP server now adds an unauthenticated file read that ships as the Docker default, and the Rust SDK itself fails at OAuth validation and session cleanup. Unauthenticated SSE and Streamable HTTP transports are the repeating pattern.
Two unbounded-resource DoS bugs on the same day — vLLM's audio bomb and rmcp's session table — share a root cause: the limit exists, but only on one of the paths reaching the same code. When you add a new endpoint, the guard does not travel with it on its own.
Une session vivante d assistant de code detournee, et Shai-Hulud se propage a une centaine de depots
C est le scenario annonce depuis des mois: Mandiant documente un incident chez un fournisseur SaaS non nomme ou l attaquant a pris le controle d une session active d assistant de code. L assistant a ensuite recommande un paquet empoisonne, accepte par l equipe, et ce paquet PyPI embarquait un infostealer qui a recupere les jetons OAuth GitHub.
Avec ces jetons, le ver Shai-Hulud s est propage seul sur environ 100 depots internes, volant secrets et code source. Les variantes ulterieures balayaient 469 emplacements sur les postes de developpement.
L essentiel: l assistant n etait pas la cible mais le canal de confiance.
L AEPD enregistre la premiere fuite de donnees en Espagne executee par un agent autonome
L agence espagnole de protection des donnees signale la premiere fuite de donnees personnelles du pays executee par un agent IA autonome. L agent a scanne des fichiers generiques, mene sa propre evaluation de vulnerabilites et obtenu un acces lecture/ecriture a des fichiers contenant donnees personnelles et factures.
Selon son president Francisco Perez Bes, l attaquant a utilise un LLM pour enchainer les differentes phases de l attaque sans operateur humain a chaque etape.
L AEPD reclame une revision immediate des modeles de securite et de protection des donnees.
CVE-2025-59953 — LMDeploy appelle pickle.loads() sur tout ce qui atteint son serveur RPC (CVSS 9.8)
Le classique qui ne meurt pas. AsyncRPCServer dans zmq_rpc.py de LMDeploy (InternLM) implemente call_and_response() en deserialisant les messages recus avec pickle.loads() sans aucune sanitisation. Quiconque atteint ce socket ZeroMQ execute du code sur l hote d inference.
GitHub le classe critique, CVSS v3.1 9.8: ni authentification ni interaction utilisateur.
CVE-2026-57173 — le garde audio de vLLM ne couvre que transcriptions, pas chat (CVSS 6.5)
vLLM dispose d une limite de duree de decodage audio (max_duration_s, defaut 600s) justement contre les bombes de decompression. Mais ce garde n est cable que sur /v1/audio/transcriptions.
La voie audio du chat — /v1/chat/completions avec des parties input_audio — appelle le meme decodeur sans aucune limite. Un client non authentifie envoie quelques KB d audio compresse qui se dilatent en plusieurs Go de PCM float32, et le worker meurt en OOM. CVSS v3.1 6.5.
CVE-2026-63128 — chaque requete malformee laisse une session immortelle dans le SDK rmcp (CVSS 7.5)
Le transport Streamable HTTP de rmcp (SDK MCP en Rust) inverse l ordre: handle_post alloue la session avant de valider le corps, et en cas d echec de validation il sort sans appeler close_session.
Un attaquant non authentifie envoie un POST JSON-RPC bien forme qui n est pas un InitializeRequest et fuit une entree permanente de la table de sessions en memoire. Une requete de ~250 octets devient ~400–550 octets de memoire permanente. CVSS v3.1 7.5.
Une seule extension avec deux permissions courantes pilotait les assistants de Chrome, Comet, Edge, Opera Neon et Claude
Forever Security (Gal Weizman) a montre qu une extension malveillante disposant de deux permissions courantes peut intercepter les commandes destinees a l assistant IA integre du navigateur et le piloter pour l attaquant.
La portee varie: sur Chrome (Gemini Live), lecture de fichiers locaux, camera et micro; sur Comet, fichiers locaux et controle de l agent; sur Edge, Opera Neon et Claude in Chrome, controle de l agent.
Corrige dans Chrome via CVE-2026-0628 (8.8) en 143.0.7499.192, et dans Edge via CVE-2026-55945 (4.2) en 150.0.4078.48.
CVE-2026-61560 — le MCP GitLab lit n importe quel fichier sans auth et livre le PAT (CVSS 9.8)
Quatrieme critique de la semaine pour @zereight/mcp-gitlab, et la pire. Deux failles s enchainent: le mode SSE (SSE=true) expose tous les outils sans authentification, et l outil upload_markdown lit des fichiers arbitraires via un parametre file_path non sanitise.
En chaine: un attaquant non authentifie lit /proc/self/environ, vole le GITLAB_PERSONAL_ACCESS_TOKEN et prend le controle du compte GitLab. C est la configuration par defaut des deploiements Docker. CVSS v3.1 9.8.
CVE-2026-63127 — rmcp ne valide pas le champ resource OAuth, un serveur MCP malveillant vole vos jetons (CVSS 8.2)
La RFC 9728 impose deux MUST: le client doit verifier que l URL utilisee comme prefixe de la requete de metadonnees correspond exactement a la valeur resource retournee, et abandonner sinon.
La bibliotheque rmcp ne valide ni l un ni l autre. Un serveur MCP malveillant renvoie des metadonnees pointant vers un serveur d autorisation legitime, le flux OAuth aboutit, et le jeton finit chez le serveur malveillant. CVSS v3.1 8.2.
Tendances Notables
L assistant n est plus la victime mais le vecteur. Dans les deux incidents du jour, le modele n a jamais ete casse: c est la confiance deja accordee qui a ete exploitee — une recommandation de paquet, le canal d une extension de navigateur.
La pile MCP accumule sa deuxieme salve de critiques en 48 heures: le serveur MCP GitLab ajoute une lecture de fichiers sans auth livree par defaut dans Docker, et le SDK Rust lui-meme echoue sur la validation OAuth et le nettoyage des sessions.
Deux DoS par ressources non bornees le meme jour — la bombe audio de vLLM et la table de sessions de rmcp — partagent la meme racine: la limite existe, mais sur une seule des voies menant au meme code.