Framework agen IntentKit: eksekutor memvalidasi panggilan alat terhadap registry penuh, melewati iklan alat per-permintaan → alat wallet/DeFi khusus pemilik berjalan melalui injeksi prompt tidak langsung

Lasso Security menerbitkan CVE-2026-76066 pada 2026-10-14 (CVSS 7.5; diverifikasi melalui advisory utama dengan datePublished 2026-10-14). Eksekutor memvalidasi panggilan alat terhadap registry alat penuh alih-alih iklan alat yang dipersempit per-permintaan yang ditegakkan oleh ToolBindingMiddleware; stream.py menetapkan is_private hanya untuk pemilik, sehingga entrypoint WEB/API/TWITTER/TELEGRAM mendapatkan is_private=False sementara superset privat tetap dapat dipanggil. Harness lokal menggunakan kembali wiring IntentKit untuk mendemonstrasikan bypass dengan alat canary sebagai pengganti transfer.

Ini adalah kegagalan batas izin agen baru dengan konsekuensi finansial langsung: daftar alat yang terlihat model (yang dianggap 'izin') dipisahkan dari eksekutor (penegakan), sehingga penyerang yang dapat mengarahkan agen melalui konten web yang diambil, obrolan publik, atau replay thread mencapai alat keuangan yang mengubah keadaan tanpa persetujuan. Ini mewakili kelas di mana kontrol akses hanya-iklan agen gagal secara diam-diam pada saat eksekusi.

Visibilitas alat hanya-iklan: ToolBindingMiddleware mempersempit daftar alat yang ditampilkan ke model tetapi ToolNode LangGraph dibangun dari superset privat penuh termasuk alat pemilik/sistem yang selalu ada seperti cdp_native_transfer, create_post dan update_memory. Pemanggil publik (atau injeksi prompt tidak langsung dalam konten yang diambil agen, atau replay checkpoint/sejarah pada thread yang digunakan ulang) yang menyebut alat khusus pemilik tetap mendapatkannya dieksekusi tanpa gerbang manusia-dalam-loop — memungkinkan transfer wallet, swap DeFi, posting, dan penulisan memori oleh non-pemilik.

IntentKit <= 2.6.3 (intentkit/core/executor.py, middleware.py ToolBindingMiddleware)

Belum ada rilis yang ditambal yang dikonfirmasi (hingga 2.6.3 terpengaruh); advisory Lasso Security merekomendasikan: tegakkan ketersediaan alat di eksekutor (bangun ToolNode dari set yang difilter konteks yang sama yang dilihat model, atau tolak panggilan yang tidak ada dalam iklan saat ini), tambahkan gerbang persetujuan untuk alat yang mengubah keadaan terutama untuk giliran yang melibatkan konten yang diambil/tidak tepercaya, dan perlakukan konten yang diambil sebagai data, bukan instruksi.