Ін'єкція промптів надає root-доступ у реєстрі інструментів агента Vibe-Trading
Критична вразливість (CVE-2026-114107) у HKUDS Vibe-Trading дозволяє віддалене виконання коду через ін'єкцію промпту в оброблювані документи. Агент автоматично запускає довільні shell-команди з правами root без підтвердження оператора чи валідації. Розробникам автономних агентів слід ізолювати реєстри інструментів та обмежити доступ до терміналу.
Чому це важливо
Перевірте визначення інструментів агентів і відокремте контекст читання зовнішніх документів від викликів системного термінала.
TL;DR
- 01Не використовуйте рішення мовної моделі як бар'єр безпеки перед системними викликами.
- 02Ізолюйте задачі читання та аналізу даних від інструментів виконання команд у системі.
- 03Завжди задавайте непривілейованого користувача USER у контейнерах для запуску агентів.
Ключові факти
- Ідентифікатор CVE
- CVE-2026-114107
- Оцінка CVSS 4.0
- 8.7 (High)
- Вразливі версії
- 0.1.0 – 0.1.6
- Виправлена версія
- 0.1.7
- Ідентифікатор користувача
- uid=0 (root)
Огляд вразливості
Вразливість CVE-2026-114107 з оцінкою CVSS 4.0 у 8.7 (AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H) зачепила версії HKUDS Vibe-Trading з 0.1.0 по 0.1.6, забезпечуючи віддалене виконання коду без автентифікації. Оскільки BashTool та BackgroundRunTool передавали згенеровані моделлю команди напряму в subprocess.run(..., shell=True) без валідації чи підтвердження, непряма ін'єкція промптів дозволяла повністю перехопити контейнер. Пов'язана помилка CVE-2026-114106 дозволяла обхід шляхів для читання файлів на зразок /proc/self/environ із витоком ключів API.
Архітектурні причини збою
1. Безумовна реєстрація інструментів: Фреймворк автоматично реєстрував усі інструменти під час ініціалізації. Крок звичайної саммаризації отримував ті самі системні привілеї, що й адміністративний термінал. 2. Відсутність детермінованих перевірок: Оцінка моделі була єдиним бар'єром перед викликом оболонки ОС. В умовах ін'єкції промптів такий захист повністю руйнується. 3. Спільний контекст читання та дій: Аналіз неперевіреного зовнішнього контенту відбувався в тому самому циклі, де агент міг викликати деструктивні системні функції. 4. Виконання під root: У Dockerfile була відсутня інструкція USER, через що процеси запускалися з правами uid=0.
Захист робочих процесів агентів
Безпечне розгортання агентів вимагає вилучення повноцінних терміналів зі стандартних наборів інструментів. Необхідно викликати команди лише через shell=False, блокувати приватні IP-адреси для захисту від SSRF та ізолювати обробку неперевірених даних у read-only середовищах.
Спробуй за 2 хвилини
# Enforce non-root execution and drop default shell capabilities in agent containers
RUN useradd -m -u 10001 agentuser
USER agentuser
ENV PYTHONUNBUFFERED=1dockerfile
✓ Коли використовувати
- Використовуйте під час налаштування ізоляції контейнерів та пісочниць для агентів розробки.
- Застосовуйте під час проєктування детермінованих перевірок між викликами моделі та бекендом.
✕ Коли НЕ варто
- Не надавайте інструменти системного термінала агентам, які виконують лише читання контенту.
- Уникайте передачі неперевірених рядків від моделі у виклики subprocess із shell=True.
Що зробити сьогодні
- Оновіть пакети HKUDS Vibe-Trading до версії 0.1.7 або новішої.
- Перевірте кодову базу агентів на наявність викликів subprocess.run із shell=True.
- Додайте директиву USER для непривілейованого користувача та приберіть секрети з оточення контейнера.