A CISA adicionou ao catálogo KEV uma falha crítica (CVE-2025-62593, CVSS 9.4) no Ray, framework Python popular para computação distribuída de IA/ML, que permite execução remota de código via ataque de DNS rebinding disparado pelo navegador da vítima. A falha já vem sendo explorada por um botnet de DDoS e por uma campanha de cryptojacking (ShadowRay 2.0) contra clusters GPU não corrigidos; agências federais dos EUA têm até 20/08/2026 para aplicar a correção disponível na versão 2.52.0.
A Rapid7 divulgou uma cadeia de duas vulnerabilidades no SharePoint Server — um bypass na validação de JWT (CVE-2026-55040, CVSS 9.1) que permite personificar qualquer usuário conhecendo apenas seu SID ou UPN, encadeado com uma instanciação insegura de tipos .NET nos Business Connectivity Services (CVE-2026-63520, CVSS 8.1) — que juntas permitem execução remota de código sem qualquer conta válida. Parte relevante do trabalho de descoberta foi feita com apoio de um agente de IA fortemente orientado por prompts, ilustrando como esses agentes já contribuem em pesquisas ofensivas complexas de múltiplas etapas, ainda que operando de forma semiautomática.
O Paperclip, control plane open source para orquestrar equipes de agentes de IA, tinha três falhas de segurança: uma execução remota de comandos com CVSS 10.0 explorável por atacante não autenticado via importação de um pacote de agente malicioso, um bypass de autenticação por DNS rebinding contra o modo local confiável, e exposição de dados de execução e detalhes do control plane por rotas de API sem autenticação adequada. Todas foram corrigidas na versão v2026.416.0.
Pesquisadores da Zafran Labs divulgaram três vulnerabilidades de alta severidade na biblioteca Diffusers da Hugging Face que permitem a um repositório de modelo malicioso executar código arbitrário na máquina de quem o carrega, contornando a proteção `trust_remote_code=False`. As falhas foram corrigidas na versão 0.38.0, lançada em maio de 2026.
Pesquisadores da Noma Security identificaram uma falha máxima (CVSS 10.0) no Ruflo, plataforma open source de orquestração de múltiplos agentes de IA usada com Claude Code e OpenAI Codex, catalogada como CVE-2026-59726 e apelidada de RufRoot. A ponte MCP do projeto expunha dezenas de ferramentas sem qualquer autenticação, permitindo execução remota de comandos e adulteração persistente da memória dos agentes. A vulnerabilidade afeta todas as versões anteriores à 3.16.3, já corrigida.
Pesquisadores demonstraram sete técnicas de ataque contra cinco frameworks populares de agentes móveis de código aberto (AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA), com cada framework vulnerável a pelo menos seis delas. A cadeia mais grave usa texto com opacidade quase nula, invisível ao olho humano mas perfeitamente legível pelo modelo de visão do agente, para injetar um comando shell que é concatenado sem sanitização e executado no computador que controla o telefone via ADB, lançando uma calculadora no PC hospedeiro em 20 de 20 tentativas.
A Sysdig associou um segundo ataque contra o mesmo servidor Langflow ao grupo JADEPUFFER, já documentado anteriormente por operar ataques assistidos por agentes de IA. Desta vez o grupo implantou o ENCFORGE, um ransomware escrito em Go que criptografa seletivamente cerca de 180 tipos de arquivo ligados a infraestrutura de IA, como pesos de modelo, checkpoints PyTorch/TensorFlow, SafeTensors, arquivos GGUF e índices vetoriais FAISS. A entrada se deu pela CVE-2025-3248 (CVSS 9,8), uma falha no endpoint de validação de código do Langflow que permite execução arbitrária de Python sem autenticação.
A ServiceNow corrigiu em junho uma vulnerabilidade crítica de escape de sandbox no AI Platform (CVSS 9,5), mas a firma de inteligência de ameaças Defused Cyber já observa exploração ativa contra instâncias não corrigidas. A falha permite que um usuário não autenticado contorne as restrições do sandbox e execute código arbitrário através do endpoint pré-autenticação `/assessment_thanks.do`, comprometendo totalmente a instância e os servidores proxy conectados a ela.
Um pesquisador de segurança detalhou uma cadeia de ataque que parte de uma mensagem recebida no WhatsApp e termina com controle total da máquina onde roda o OpenClaw, assistente pessoal de IA, ao encadear três falhas hoje corrigidas - entre elas a GHSA-hjr6-g723-hmfm, de severidade alta (CVSS 8,8), ligada a injeção de comandos no sistema operacional. As vulnerabilidades combinadas permitem escalonamento de privilégio e execução arbitrária de código no host, expondo credenciais da vítima a partir de uma única interação no aplicativo de mensagens. O caso mostra como assistentes de IA com acesso simultâneo a canais de mensageria e ao sistema operacional local ampliam significativamente a superfície de ataque tradicional.