何が起きたか
2026-10-13公開（CVSS 4.3、CWE-807）、GitLabアドバイザリ経由。CVE-2026-96893と同じパッチリリース。NVD REST APIで検証済み。
なぜ重要か
AIエージェントプラットフォームトークンは、GitLab内でエージェントがどのアイデンティティとして動作するかを制御します；ガバナンスを回避するトークンにより、低権限ユーザーが企業CI/CDにおいて意図された範囲を超えてエージェント機能を操作できるようになります。
攻撃経路
Duo Agent Platformトークン発行時のセキュリティ判断における信頼できない入力への依存；特定の細分化された権限を持つユーザーが、意図されたエージェントプラットフォームのガバナンス制約を回避するトークンを取得します。
影響を受けるシステム
GitLab EE 19.1–19.2.8, 19.3–19.3.5, 19.4–19.4.2
緩和策
パッチリリースに従い、GitLab EE 19.2.8 / 19.3.5 / 19.4.2へアップグレードしてください。