Apa yang terjadi
NVIDIA NeMo Agent Toolkit tidak memiliki autentikasi pada permukaan layanan (CWE-306). Penyerang jarak jauh dapat menjangkau toolkit tanpa kredensial yang valid; eksploitasi yang berhasil dapat menyebabkan eksekusi kode jarak jauh, eskalasi hak istimewa, manipulasi data, penolakan layanan, dan pengungkapan informasi. Masalah injeksi SQL yang menyertai (CVE-2026-65151, CVSS 8.4) memengaruhi toolkit yang sama. Dipublikasikan 2026-10-27 dengan CVSS 10.0.
Mengapa penting
Ini adalah infrastruktur AI agen: toolkit menyediakan dan mengendalikan agen LLM serta loop alat mereka. Kurangnya autentikasi berarti penyerang yang tidak terautentikasi dapat menggerakkan atau membajak runtime agen — bukan hanya membaca data — berpotensi mengeksekusi kode dalam konteks platform agen dan berpindah ke beban kerja yang disentuh agen.
Vektor serangan
Akses tidak terautentikasi ke endpoint layanan NeMo Agent Toolkit; kelemahan kurangnya autentikasi (CWE-306) memungkinkan penyerang mencapai permukaan manajemen/eksekusi agen tanpa kredensial, yang mengarah pada eksekusi kode, eskalasi hak istimewa, manipulasi data, atau DoS pada runtime agen.
Sistem yang terdampak
NVIDIA NeMo Agent Toolkit (advisory 2026/5912); kelemahan injeksi SQL terkait CVE-2026-65151 (CVSS 8.4) juga memengaruhinya
Mitigasi
Terapkan patch buletin keamanan produk NVIDIA 2026/5912. Catat depresiasi: rencanakan migrasi dari NeMo Agent Toolkit (EOL akhir 2026) dan batasi paparan jaringan layanan toolkit (autentikasi/ikat ke antarmuka tepercaya) sebagai kontrol kompensasi.