何が起きたか
Lasso Securityは2026年10月14日にCVE-2026-76066を公開しました（CVSS 7.5; datePublished 2026-10-14のプライマリアドバイザリで検証済み）。エグゼキュータはToolBindingMiddlewareが強制するリクエストごとの狭められたツールアドバタイズメントではなく、フルツールレジストリに対してツール呼び出しを検証します。stream.pyはis_privateをオーナーのみに設定するため、WEB/API/TWITTER/TELEGRAMエントリポイントはis_private=Falseを取得しますが、プライベートスーパーセットは呼び出し可能なままです。ローカルハーネスがIntentKitの配線を再利用して、転送の代わりにカナリアツールでバイパスを実証しました。
なぜ重要か
これは直接的な金銭的影響を持つ新しいエージェント権限境界の障害です。モデルに見えるツールリスト（「権限」）がエグゼキュータ（強制）から切り離されているため、取得したWebコンテンツ、パブリックチャット、スレッドリプレイを介してエージェントを誘導できる攻撃者は、承認なしで状態変更のある金融ツールに到達できます。これはアドバタイズのみのアクセス制御が実行時に静かに失敗するクラスを代表するものです。
攻撃経路
ツールの可視性はアドバタイズのみです。ToolBindingMiddlewareはモデルに表示されるツールリストを狭めますが、LangGraph ToolNodeはcdp_native_transfer、create_post、update_memoryなどの常に存在するオーナー/システムツールを含むフルプライベートスーパーセットから構築されます。オーナーのみのツールを指定するパブリック呼び出し元（またはエージェントがフェッチするコンテンツ内の間接プロンプトインジェクション、再利用されたスレッドでのチェックポイント/履歴リプレイ）は、人間参加ゲートなしでそれらを実行させることができ、非オーナーによるウォレット転送、DeFiスワップ、投稿、メモリ書き込みを可能にします。
影響を受けるシステム
IntentKit <= 2.6.3（intentkit/core/executor.py、middleware.py ToolBindingMiddleware）
緩和策
パッチ適用済みリリースはまだ確認されていません（2.6.3まで影響）。Lasso Securityアドバイザリの推奨事項: エグゼキュータでツールの利用可能性を強制し（モデルが見る同じコンテキストフィルタリング済みセットからToolNodeを構築するか、現在のアドバタイズメントにない呼び出しを拒否）、特に取得済み/信頼できないコンテンツを含むターンでは状態変更ツールに承認ゲートを追加し、取得したコンテンツを命令ではなくデータとして扱います。