事件经过
NeMo Agent Toolkit（公告2026/5912，发布于2026-10-27）包含一个SQL注入缺陷，构造的输入可以改变查询，允许数据篡改、拒绝服务和信息泄露。这是与已披露的缺失认证缺陷（CVE-2026-65145）在同一公告中的一个独立CVE。
影响分析
将代理状态、对话历史或工具输出存储在数据库中的AI代理工具包，可能被SQL注入篡改或窃取，破坏代理行为并泄露敏感数据。
攻击途径
攻击者到达NeMo Agent Toolkit服务表面中的参数化数据库查询并注入SQL，实现数据篡改、拒绝服务和信息泄露（CVSS 8.4，AV:L）。
受影响系统
NVIDIA NeMo Agent Toolkit 1.4至1.6
缓解措施
应用2026/5912公告修复/补丁的工具包版本（https://github.com/NVIDIA/product-security/tree/main/2026/5912）。