事件经过
NVD于2026-10-04发布了CVE-2026-105161（CVSS v3.1 5.3 / v4.0 6.9，经VulDB核实），涉及invariant-systems-ai aiir 1.7.0及更早版本中策略门控处理程序的加密签名验证不当问题。该公告指出GitHub仓库已不可用，且维护者不再支持该产品。
影响分析
aiir是一个AI“策略门控”组件——这种控制机制旨在决定代理的工具调用是否被允许。此类门控中的签名验证弱点会削弱代理操作的强制执行点，但唯一的发现是一个已弃用、不受支持、影响范围小的软件包，且没有可用的漏洞利用，因此保留该发现是为了精确性而非紧迫性。
攻击途径
远程操纵策略门控处理程序组件可绕过加密签名的不当验证，因此带有无效/伪造签名的请求可通过AI策略门控被接受（CWE-345/347）。
受影响系统
invariant-systems-ai aiir 1.0至1.7.0（不受支持；仓库已移除）
缓解措施
无修复可用——仓库已消失且项目不受支持。使用维护中的替代库替换该库；将所有部署视为未维护状态。