何が起きたか
NVDは2026-09-28にCVE-2026-101080（CVSS 4.8）を公開しました。Tencent AI-Infra-Guardのディレクトリアクションパスチェックは脆弱なstartsWith比較を使用しており、AIインフラストラクチャセキュリティスキャンツールでのパストラバーサルにつながります。エクスプロイトは公に知られています。
なぜ重要か
AI-Infra-GuardはAIインフラストラクチャ用のセキュリティスキャナーです。その独自のskill-scanディレクトリツールでのトラバーサルは、敵対的なリポジトリレイアウトに対して実行された場合、スキャンツール自体の整合性を損なうものです。ローカルアクセスが必要なため深刻度は低いですが、AIインフラツールの表面内にあります。
攻撃経路
ローカル攻撃：skill-scanディレクトリツールのstartsWith関数は、（正規のパス包含ではなく）プレフィックスベースのパスチェックを実行するため、意図したディレクトリ外へのトラバーサルをバイパスできます（パストラバーサル）。
影響を受けるシステム
Tencent AI-Infra-Guard 4.5.2/4.6.2まで（skill_scan/tools/dir/dir_actions.py）
緩和策
プレフィックスのstartsWithではなく、解決された実際のパスを使用したパス包含チェックを適用してください。https://github.com/Tencent/AI-Infra-Guard/ からパッチ適用済みビルドに更新してください。