«Adception»: anuncios de Google y redirects de Bing empujan un instalador falso de Claude para macOS
Push Security encontró un anuncio de Google para la búsqueda «claude mac» que mostraba el dominio legítimo bing.com. El clic pasaba por el redirect de Google Ads, después por el endpoint de tracking bing.com/ck/a, aterrizaba en un WordPress comprometido de un retailer sudamericano y terminaba en claude-desk-code[.]com, una copia del instalador de Claude para macOS. La página muestra el comando real curl -fsSL https://claude.ai/install.sh | bash, pero el botón de copiar pone otro en el portapapeles: decodifica una URL en Base64 hacia lake-90[.]com, baja un .dat con curl y lo pasa a zsh. Hay cloaking en cada salto: si no venís desde Google o Bing, ves un 404. Push le dice AcSig al toolkit y encontró otros dominios con la misma estructura. Ojo con esto: instalá Claude Code solo desde claude.ai escrito a mano, nunca desde un anuncio, y pegá en la terminal únicamente comandos que puedas leer.
CVE-2026-61445: AICoder de PraisonAI le da al LLM escritura de archivos y ejecución de comandos sin validar (CVSS 9.9)
El componente de UI AICoder expone al modelo las tools write_to_file y execute_command. write_to_file hace un open(file_path, 'w') sin validar el path, y los comandos tampoco se sanitizan. Con un prompt injection en el chat, un atacante escribe donde quiera (/root/.ssh/authorized_keys, /etc/crontab) o ejecuta comandos directamente. Las imágenes Docker corren como root, así que el impacto es total. Afecta praisonai ≤ 4.6.77; actualizá a 4.6.78.
CVE-2026-60085: el SubprocessSandbox por defecto de PraisonAI ignora toda la SecurityPolicy (CVSS v4 8.7)
SecurityPolicy.strict() está documentada como la política para «código no confiable»: allow_subprocess=False, allow_file_write=False y bloqueos sobre ~/.ssh, ~/.aws, /etc/shadow, rm -rf o mkfs. Pero el backend por defecto, SubprocessSandbox, escribe el input a un archivo temporal y lo ejecuta con asyncio.create_subprocess_exec() sin chequear ni uno de esos campos. La configuración existía; nadie la aplicaba. En el mismo lote, CVE-2026-61434 (CVSS 8.8) muestra que el allowlist de shell se saltea con find ... -exec ... {} + en cuatro implementaciones. Ambos se corrigen en praisonai 4.6.78.
CVE-2026-61426: AgentOS de PraisonAI escucha en 0.0.0.0 sin auth y filtra los system prompts (CVSS 8.6)
El servidor AgentOS del paquete npm praisonai arranca en 0.0.0.0, sin API key y con CORS * con credenciales. El middleware de API key solo se registra si configurás una key, así que el quickstart documentado (new AgentOS({agents:[...]}).serve({port})) deja expuestos sin autenticación GET /api/agents, que devuelve nombres, roles e instrucciones (o sea, los system prompts), y POST /api/chat, que invoca a los agentes. Cualquiera en la red lee tus prompts y maneja tus agentes. Corregido en 1.7.3.
Zenity: un prompt le pedía a un agente de AWS AgentCore sus credenciales IAM, y las entregaba
Zenity Labs mostró que, con solo acceso de chat a un agente expuesto, un prompt disparaba un SSRF contra el IMDS de la instancia (AgentCore todavía usaba IMDSv1 y la microVM Firecracker no aislaba bien la red) y devolvía las credenciales temporales del rol del agente. El rol por defecto estaba sobredimensionado: abarcaba todos los recursos AgentCore de la región. Con eso se podían lanzar otros agentes, leer sesiones, escribir memorias que cambian el comportamiento en sesiones futuras y leer secretos de Secrets Manager. AWS cerró el reporte como «informativo», dice que desde el 14 de febrero usa solo IMDSv2 y que el ataque requiere un error del developer; Zenity confirmó en su revisión del 29 de septiembre que los problemas restantes estaban resueltos. No hay CVE. La lección vale para cualquier plataforma de agentes: el rol IAM por defecto es parte de la superficie de prompt injection.
Booz Allen: dos modelos frontier completan los 8 escenarios de ataque en un laboratorio OT, incluido mover un brazo robótico
En un entorno multi-vendor que imita una planta de manufactura (PLCs, HMIs, SCADA, un variador de frecuencia y un brazo robótico), dos modelos frontier no identificados cumplieron los ocho objetivos: mapear activos, encadenar fallas, manipular controladores, cambiar la velocidad de un motor, tomar el SCADA y mover el brazo. Pasaron del perímetro a la red de control en poco más de 16 minutos, sin código fuente ni documentación OT, y con aprobación humana obligatoria antes de cada acción con impacto físico. Cuando falló el primer camino, editaron un proyecto SCADA exportado y empujaron una toma de pantalla completa a los HMIs; el gateway tenía sesiones preautenticadas a 14 dispositivos. Al brazo entraron con credenciales por defecto del fabricante. La conclusión del informe: como tantos equipos OT no tienen autenticación ni cifrado, el conocimiento especializado ya no frena a nadie.
Tendencias Destacadas
Política que nadie aplica: el SubprocessSandbox de PraisonAI y el rol por defecto de AgentCore prometían aislamiento que el runtime nunca hizo cumplir.
La marca de los asistentes de código ya es cebo: instaladores falsos de Claude se empujan con anuncios pagos de búsqueda.
«Adception»: Google ads and Bing redirects push a fake Claude installer for macOS
Push Security found a Google ad for the search «claude mac» that displayed the legitimate bing.com domain. The click went through the Google Ads redirect, then Bing's bing.com/ck/a click-tracking endpoint, landed on a compromised WordPress site belonging to a South American retailer, and ended at claude-desk-code[.]com, a clone of the Claude for macOS installer. The page displays the real command curl -fsSL https://claude.ai/install.sh | bash, but its copy button puts a different one on the clipboard: it decodes a Base64 URL pointing to lake-90[.]com, downloads a .dat file with curl and pipes it into zsh. Every hop is cloaked, so visitors who don't arrive from Google or Bing get a 404. Push tracks the toolkit as AcSig and found related domains with the same structure. Install Claude Code only from a hand-typed claude.ai, never from an ad, and only paste terminal commands you can read.
CVE-2026-61445: PraisonAI's AICoder hands the LLM unvalidated file write and command execution (CVSS 9.9)
The AICoder UI component exposes write_to_file and execute_command tools to the model. write_to_file does a bare open(file_path, 'w') with no path validation, and commands are not sanitized either. With prompt injection in the chat, an attacker writes anywhere (/root/.ssh/authorized_keys, /etc/crontab) or simply runs commands. The Docker images run as root, so the impact is total. Affects praisonai ≤ 4.6.77; upgrade to 4.6.78.
CVE-2026-60085: PraisonAI's default SubprocessSandbox ignores the entire SecurityPolicy (CVSS v4 8.7)
SecurityPolicy.strict() is documented as the policy for «untrusted code»: allow_subprocess=False, allow_file_write=False, and blocks on ~/.ssh, ~/.aws, /etc/shadow, rm -rf or mkfs. But the default backend, SubprocessSandbox, writes the input to a temp file and runs it via asyncio.create_subprocess_exec() without checking a single one of those fields. The config existed; nothing enforced it. In the same batch, CVE-2026-61434 (CVSS 8.8) shows the shell allowlist is bypassed with find ... -exec ... {} + across four implementations. Both are fixed in praisonai 4.6.78.
CVE-2026-61426: PraisonAI's AgentOS listens on 0.0.0.0 with no auth and leaks system prompts (CVSS 8.6)
The AgentOS server in the praisonai npm package binds 0.0.0.0, sets no API key and uses CORS * with credentials. The API-key middleware is only registered when a key is configured, so the documented quickstart (new AgentOS({agents:[...]}).serve({port})) exposes, unauthenticated, GET /api/agents, which returns agent names, roles and instructions (the system prompts), and POST /api/chat, which invokes the agents. Any network peer can read your prompts and drive your agents. Fixed in 1.7.3.
Zenity: one prompt asked an AWS AgentCore agent for its IAM credentials, and it handed them over
Zenity Labs showed that, with only chat access to an exposed agent, a prompt could trigger SSRF against the instance's IMDS (AgentCore still used IMDSv1 and the Firecracker microVM lacked network isolation) and return the temporary credentials of the agent's role. The default role was overpermissioned, scoped to every AgentCore resource in the region. With it, an attacker could launch other agents, read sessions, write memories that persistently change behavior in future sessions, and read Secrets Manager secrets. AWS closed the report as «informative», says AgentCore has used IMDSv2 exclusively since February 14, and argues the attack requires developer error; Zenity's September 29 review found the remaining issues addressed. No CVE. The lesson applies to any agent platform: the default IAM role is part of the prompt-injection attack surface.
Booz Allen: two frontier models complete all 8 attack scenarios in an OT lab, including moving a robotic arm
In a multi-vendor environment modeled on a manufacturing plant (PLCs, HMIs, SCADA, a variable-frequency drive and a robotic arm), two unnamed frontier models achieved all eight objectives: mapping assets, chaining weaknesses, manipulating controllers, changing motor speed, compromising SCADA and moving the arm. They went from perimeter to control network in just over 16 minutes, with no source code or OT documentation, and with mandatory human approval before any physical-impact action. When the first path failed, they edited an exported SCADA project and pushed a full-screen takeover to the operator HMIs; the gateway held pre-authenticated sessions to 14 devices. The arm fell to vendor default credentials. The report's takeaway: because so many OT devices lack authentication or encryption, specialist knowledge is no longer a real barrier.
Notable Trends
Policy nobody enforces: PraisonAI's SubprocessSandbox and AgentCore's default role promised isolation the runtime never actually applied.
Coding-assistant brands are now bait: fake Claude installers are pushed through paid search ads.
«Adception» : des annonces Google et des redirections Bing poussent un faux installateur Claude pour macOS
Push Security a repéré une annonce Google pour la recherche «claude mac» qui affichait le domaine légitime bing.com. Le clic passait par la redirection Google Ads, puis par l'endpoint de suivi bing.com/ck/a, arrivait sur un WordPress compromis d'un commerçant sud-américain et aboutissait à claude-desk-code[.]com, une copie de l'installateur Claude pour macOS. La page affiche la vraie commande curl -fsSL https://claude.ai/install.sh | bash, mais le bouton copier place autre chose dans le presse-papiers : une URL Base64 vers lake-90[.]com dont le .dat est téléchargé puis exécuté par zsh. Chaque étape est masquée : sans arrivée depuis Google ou Bing, on obtient un 404. Installez Claude Code uniquement depuis claude.ai saisi à la main.
CVE-2026-61445 : AICoder de PraisonAI donne au LLM l'écriture de fichiers et l'exécution de commandes sans validation (CVSS 9.9)
Le composant d'UI AICoder expose au modèle les tools write_to_file et execute_command. write_to_file fait un simple open(file_path, 'w') sans valider le chemin, et les commandes ne sont pas filtrées. Par prompt injection dans le chat, un attaquant écrit n'importe où (/root/.ssh/authorized_keys, /etc/crontab) ou exécute des commandes. Les conteneurs Docker tournent en root. Affecte praisonai ≤ 4.6.77 ; corrigé en 4.6.78.
CVE-2026-60085 : le SubprocessSandbox par défaut de PraisonAI ignore toute la SecurityPolicy (CVSS v4 8.7)
SecurityPolicy.strict() est documentée comme la politique pour du «code non fiable» : allow_subprocess=False, allow_file_write=False et blocages sur ~/.ssh, ~/.aws, /etc/shadow, rm -rf ou mkfs. Mais le backend par défaut, SubprocessSandbox, écrit l'entrée dans un fichier temporaire et l'exécute via asyncio.create_subprocess_exec() sans vérifier aucun de ces champs. Dans le même lot, CVE-2026-61434 (CVSS 8.8) contourne l'allowlist shell avec find ... -exec ... {} +. Corrigés en praisonai 4.6.78.
CVE-2026-61426 : AgentOS de PraisonAI écoute sur 0.0.0.0 sans auth et divulgue les system prompts (CVSS 8.6)
Le serveur AgentOS du paquet npm praisonai écoute sur 0.0.0.0, sans clé d'API et avec CORS * et credentials. Le middleware de clé n'est enregistré que si une clé est configurée : le quickstart documenté expose donc sans authentification GET /api/agents, qui renvoie les instructions des agents (les system prompts), et POST /api/chat, qui les invoque. Corrigé en 1.7.3.
Zenity : un prompt demandait à un agent AWS AgentCore ses identifiants IAM, et il les livrait
Zenity Labs a montré qu'avec un simple accès chat à un agent exposé, un prompt déclenchait une SSRF vers l'IMDS de l'instance (AgentCore utilisait encore IMDSv1 et la microVM Firecracker isolait mal le réseau) et renvoyait les identifiants temporaires du rôle de l'agent. Le rôle par défaut couvrait toutes les ressources AgentCore de la région : lancer d'autres agents, lire des sessions, écrire des mémoires persistantes, lire Secrets Manager. AWS a classé le rapport comme «informatif» et affirme utiliser uniquement IMDSv2 depuis le 14 février ; Zenity a constaté le 29 septembre que le reste était corrigé. Pas de CVE.
Booz Allen : deux modèles frontier réussissent les 8 scénarios d'attaque d'un labo OT, dont bouger un bras robotique
Dans un environnement multi-fournisseurs imitant une usine (PLC, IHM, SCADA, variateur de fréquence, bras robotique), deux modèles frontier non nommés ont atteint les huit objectifs : cartographier, enchaîner les failles, manipuler les automates, changer la vitesse d'un moteur, compromettre le SCADA et bouger le bras. Du périmètre au réseau de contrôle en un peu plus de 16 minutes, sans code source ni documentation OT, avec approbation humaine avant toute action physique. Le bras est tombé avec les identifiants par défaut du fabricant. Conclusion : sans authentification ni chiffrement sur l'OT, l'expertise n'est plus une barrière.
Tendances Notables
Une politique que personne n'applique : le SubprocessSandbox de PraisonAI et le rôle par défaut d'AgentCore promettaient une isolation jamais appliquée.
Les marques d'assistants de code servent d'appât : de faux installateurs Claude sont poussés via des annonces payantes.