事件经过
已通过VulnCheck/NVD和GitHub公告（已获取）验证：单个公告集涵盖未沙箱化的LLM可调用BashTool/BackgroundRunTool shell注入（典型的RCE原语），以及backtest exec_module和Jones代码生成汇点，read_url中的SSRF，读取文档的路径遍历（CVE-2026-114106，7.5），对root shell的间接提示注入（CVE-2026-114107，8.8），以及FastAPI表面上缺失认证（CVE-2026-114108，9.8），使所有内容均可匿名访问。
影响分析
该发现是交易智能体中反复出现的LLM工具RCE类的教科书式演示：未认证请求或提示注入的PDF → root shell，以及未认证的任意文件读取API密钥/凭证——在一个发布到PyPI的框架中层叠。
攻击途径
对/sessions/{id}/messages的未认证POST（当API_AUTH_KEY未设置时，require_auth()提前返回）或上传包含嵌入指令的文档/网页；LLM智能体随后调用BashTool/BackgroundRunTool，后者将模型发出的命令原样传递给subprocess.run(shell=True)并以root身份执行。另外，read_document文件工具缺乏沙箱检查（且受safe_user_path门控的工具可逃逸），可实现对任意服务器文件的读取，例如/etc/shadow和包含API密钥的进程环境变量。
受影响系统
HKUDS Vibe-Trading (vibe-trading-ai) 0.1.0 – <0.1.7
缓解措施
升级至0.1.7；设置API_AUTH_KEY；添加USER指令/非root运行时；限制或移除文件工具；将智能体处理的任何文档视为不受信任的输入。公告：GHSA-jqmf-mx4f-hfr6、GHSA-5rmq-chc7-m22f、GHSA-v2f8-6655-7grj。