事件经过
Lasso Security于2026-10-14发布了CVE-2026-76066（CVSS 7.5；已通过主要公告验证，datePublished为2026-10-14）。执行器针对完整工具注册表而非ToolBindingMiddleware强制执行的按请求缩小的工具广告验证工具调用；stream.py仅对所有者设置is_private，因此WEB/API/TWITTER/TELEGRAM入口点获得is_private=False，而私有超集仍可调用。本地测试工具复用IntentKit的接线，用金丝雀工具代替转账演示了绕过。
影响分析
这是具有直接财务后果的新型代理权限边界失败：模型可见的工具列表（"权限"）与执行器（强制）脱耦，因此能通过检索的网页内容、公开聊天或线程重放引导代理的攻击者，可在无审批的情况下到达改变状态的金融工具。它代表了代理仅广告访问控制在执行时静默失败的那一类问题。
攻击途径
工具可见性仅为广告性质：ToolBindingMiddleware缩小了显示给模型的工具列表，但LangGraph ToolNode是从完整的私有超集构建的，包括始终存在的所有者/系统工具，如cdp_native_transfer、create_post和update_memory。命名所有者专属工具的公开调用者（或代理获取内容中的间接提示注入，或重用线程上的检查点/历史重放）仍可执行该工具，且无人在环门控——使非所有者能够进行钱包转账、DeFi交换、发帖和内存写入。
受影响系统
IntentKit <= 2.6.3（intentkit/core/executor.py，middleware.py ToolBindingMiddleware）
缓解措施
尚未确认修补版本（截至2.6.3受影响）；Lasso Security公告建议：在执行器处强制工具可用性（从模型看到的同一上下文过滤集构建ToolNode，或拒绝当前广告中不存在的调用），为改变状态的工具添加审批门控，尤其是涉及检索/不可信内容的轮次，并将检索内容视为数据，而非指令。