何が起きたか
VulnCheck/NVDおよびGitHubアドバイザリ（取得済み）で検証済み: 単一のアドバイザリセットが、サンドボックス化されていないLLM呼び出し可能なBashTool/BackgroundRunToolシェルインジェクション（標準的なRCEプリミティブ）に加えて、バックテストexec_moduleとJonesコード生成シンク、read_urlのSSRF、read-documentパストラバーサル (CVE-2026-114106, 7.5)、rootシェルへの間接プロンプトインジェクション (CVE-2026-114107, 8.8)、FastAPIサーフェス上の欠落した認証 (CVE-2026-114108, 9.8) をカバーしており、すべて匿名で到達可能にしています。
なぜ重要か
この発見は、トレーディングエージェントにおける繰り返し発生するLLMツールRCEクラスの典型的なデモンストレーションです: 未認証リクエストまたはプロンプトインジェクションされたPDF → rootシェル、およびAPIキー/資格情報の未認証の任意ファイル読み取り — PyPIにリリースされた単一のフレームワークに階層化されています。
攻撃経路
/sessions/{id}/messagesへの未認証POST（require_auth()はAPI_AUTH_KEYが設定されていない場合に早期リターンします）または埋め込み命令を含むドキュメント/Webページのアップロード; LLMエージェントはその後、BashTool/BackgroundRunToolを呼び出し、モデルが生成したコマンドをsubprocess.run(shell=True)にrootとしてそのまま渡します。別途、read_documentファイルツールにはサンドボックスチェックがなく（safe_user_pathでゲートされたツールもエスケープ可能）、/etc/shadowやAPIキーを含むプロセス環境などの任意のサーバーファイル読み取りが可能になります。
影響を受けるシステム
HKUDS Vibe-Trading (vibe-trading-ai) 0.1.0 – <0.1.7
緩和策
0.1.7にアップグレードしてください; API_AUTH_KEYを設定してください; USERディレクティブ/非rootランタイムを追加してください; ファイルツールを制限または削除してください; エージェントによって処理されたドキュメントはすべて信頼できない入力として扱ってください。アドバイザリ: GHSA-jqmf-mx4f-hfr6、GHSA-5rmq-chc7-m22f、GHSA-v2f8-6655-7grj。