무슨 일이 있었나
Lasso Security가 2026-10-14에 CVE-2026-76066을 공개했습니다(CVSS 7.5, datePublished 2026-10-14의 기본 권고를 통해 검증). 실행기는 ToolBindingMiddleware가 적용하는 요청별 축소된 도구 광고가 아닌 전체 도구 레지스트리에 대해 도구 호출을 검증합니다. stream.py는 소유자에게만 is_private를 설정하므로 WEB/API/TWITTER/TELEGRAM 진입점은 is_private=False를 얻지만 비공개 슈퍼세트는 계속 호출 가능합니다. 로컬 하네스가 IntentKit의 배선을 재사용하여 전송 대신 카나리아 도구로 우회를 시연했습니다.
왜 중요한가
이것은 직접적인 금전적 결과를 초래하는 새로운 에이전트 권한 경계 실패입니다: 모델 표시 도구 목록('권한')이 실행기(집행)와 분리되어, 검색된 웹 콘텐츠, 공개 채팅 또는 스레드 재생을 통해 에이전트를 조종할 수 있는 공격자가 승인 없이 상태 변경 금융 도구에 도달할 수 있습니다. 이는 광고 전용 접근 제어가 실행 시간에 조용히 실패하는 클래스의 대표적인 사례입니다.
공격 경로
도구 가시성은 광고 전용입니다: ToolBindingMiddleware는 모델에 표시되는 도구 목록을 축소하지만 LangGraph ToolNode는 cdp_native_transfer, create_post 및 update_memory와 같은 항상 존재하는 소유자/시스템 도구를 포함한 전체 비공개 슈퍼세트로 구축됩니다. 소유자 전용 도구를 지정하는 공개 호출자(또는 에이전트가 가져오는 콘텐츠의 간접 프롬프트 주입, 또는 재사용된 스레드의 체크포인트/기록 재생)는 사람 개입 게이트 없이도 계속 실행되어 비소유자가 지갑 전송, DeFi 스왑, 게시 및 메모리 쓰기를 할 수 있습니다.
영향받는 시스템
IntentKit <= 2.6.3(intentkit/core/executor.py, middleware.py ToolBindingMiddleware)
완화 방안
패치된 릴리스가 아직 확인되지 않음(2.6.3까지 영향). Lasso Security 권고: 실행기에서 도구 가용성을 강제하고(모델이 보는 동일한 컨텍스트 필터링 세트로 ToolNode를 구축하거나 현재 광고에 없는 호출을 거부), 상태 변경 도구에 특히 검색/신뢰할 수 없는 콘텐츠가 포함된 턴에 대해 승인 게이트를 추가하며, 검색된 콘텐츠를 데이터로 취급하고 지침으로 취급하지 마세요.