Apa yang terjadi
Diverifikasi via VulnCheck/NVD dan advisory GitHub (diambil): satu set advisory mencakup injeksi shell BashTool/BackgroundRunTool yang dapat dipanggil LLM tanpa sandbox (primitif RCE kanonik) plus exec_module backtest dan sink codegen Jones, SSRF di read_url, path traversal baca-dokumen (CVE-2026-114106, 7.5), injeksi prompt tidak langsung ke shell root (CVE-2026-114107, 8.8), dan autentikasi hilang di permukaan FastAPI (CVE-2026-114108, 9.8) membuat semuanya dapat dijangkau secara anonim.
Mengapa penting
Temuan ini adalah demonstrasi buku teks dari kelas RCE perkakas LLM yang berulang di agen perdagangan: permintaan tanpa autentikasi atau PDF injeksi prompt → shell root, dan pembacaan file arbitrer tanpa autentikasi dari kunci API/kredensial — berlapis dalam satu kerangka yang dirilis ke PyPI.
Vektor serangan
POST tanpa autentikasi ke /sessions/{id}/messages (require_auth() kembali lebih awal saat API_AUTH_KEY tidak disetel) atau mengunggah dokumen/halaman web yang berisi instruksi tertanam; agen LLM kemudian memanggil BashTool/BackgroundRunTool, yang meneruskan perintah yang dipancarkan model apa adanya ke subprocess.run(shell=True) sebagai root. Secara terpisah, perkakas file read_document tidak memiliki pemeriksaan sandbox (dan perkakas yang dilindungi safe_user_path dapat lolos), memungkinkan pembacaan file server arbitrer seperti /etc/shadow dan env proses yang berisi kunci API.
Sistem yang terdampak
HKUDS Vibe-Trading (vibe-trading-ai) 0.1.0 – <0.1.7
Mitigasi
Tingkatkan ke 0.1.7; setel API_AUTH_KEY; tambahkan direktif USER / runtime non-root; batasi atau hapus perkakas file; perlakukan dokumen apa pun yang diproses agen sebagai input tidak tepercaya. Advisory: GHSA-jqmf-mx4f-hfr6, GHSA-5rmq-chc7-m22f, GHSA-v2f8-6655-7grj.