何が起きたか
NeMo Agent Toolkit（アドバイザリ2026/5912、2026-10-27公開）には、巧妙に作成された入力がクエリを変更できるSQLインジェクション欠陥が含まれており、データの改ざん、DoS、情報漏洩が可能です。これは、既に公開されている認証欠陥（CVE-2026-65145）と同じアドバイザリ内の別のCVEです。
なぜ重要か
エージェントの状態、会話履歴、ツール出力をデータベースに保存するAIエージェントツールキットは、SQLインジェクションによってそのストアが改ざんまたは流出される可能性があり、エージェントの動作を破壊し、機密データを漏洩させます。
攻撃経路
攻撃者はNeMo Agent Toolkitのサービス面でパラメータ化されたデータベースクエリに到達し、SQLを注入して、データの改ざん、サービス拒否、情報漏洩を可能にします（CVSS 8.4、AV:L）。
影響を受けるシステム
NVIDIA NeMo Agent Toolkit 1.4から1.6
緩和策
2026/5912アドバイザリの修正/パッチ適用済みツールキットリリースを適用してください（https://github.com/NVIDIA/product-security/tree/main/2026/5912）。