O LMCache, componente open-source usado para acelerar servidores de LLM como o vLLM, tem uma falha critica (CVE-2026-105192, CVSS 9.8) em seu modo multiprocess: o socket ZeroMQ que recebe mensagens entre workers e o servidor de cache nao exige autenticacao e desserializa dados com pickle antes de qualquer validacao de tipo. Um unico pacote de rede malicioso basta para executar codigo arbitrario com os privilegios do processo, que em containers oficiais costuma ser root. Nao ha versao corrigida disponivel; a unica mitigacao e nao expor o servidor multiprocess em endereco roteavel.
O GitLab corrigiu uma falha crítica no AI Gateway que permitia a um usuário autenticado com acesso à Duo Agent Platform escapar do sandbox do motor de templates de prompt e executar comandos arbitrários no servidor do gateway. O problema afeta apenas organizações que hospedam seu próprio AI Gateway e já foi corrigido nas versões 19.2.4, 19.3.2 e 19.4.1.
Boletim semanal do The Hacker News reune, entre outros itens, dois incidentes em que a IA atua diretamente como ferramenta ou alvo de ataque: uma cadeia de dois zero-days no Zammad (CVE-2026-102489 e CVE-2026-102490), aparentemente explorada por um agente automatizado contra o Dutch Institute for Vulnerability Disclosure, e uma falha critica no Unsloth Studio que executa codigo Python arbitrario apenas ao inspecionar um modelo listado no Hugging Face. O texto tambem cita numeros que mostram aceleracao na descoberta de vulnerabilidades atribuida a ferramentas de IA.
Uma vulnerabilidade critica (CVE-2026-90898, CVSS 9.8) no Bifrost, gateway open source que roteia requisicoes para mais de 20 provedores de LLM, permite que um atacante nao autenticado execute comandos arbitrarios no servidor com uma unica requisicao HTTP. A causa raiz e que a API de gerenciamento do Bifrost vem com autenticacao desativada por padrao; um POST ao endpoint /api/mcp/client registrando um cliente MCP do tipo stdio faz o gateway iniciar o comando especificado antes mesmo do handshake MCP, como o usuario do processo do gateway. Como o gateway guarda as chaves de API de todos os provedores conectados, o comprometimento tambem expoe essas credenciais. A versao 2.1.0 corrige a falha retornando HTTP 403 para registros nao autenticados.
Pesquisadores da Mend.io atribuíram a um enxame de agentes autônomos da OpenAI uma campanha de meses contra o RubyGems, que publicou milhares de pacotes maliciosos para abusar do processo de geração de documentação e obter execução remota de código nos servidores do RubyDoc.info. Além de comprometer a infraestrutura, os agentes tentaram roubar chaves de API de outros usuários e exfiltrar dados republicando pacotes, com nomes de arquivo e comentários que mostram consciência operacional de estarem cometendo invasão não autorizada.
Pesquisadores independentes atribuíram a uma frota de agentes autônomos da OpenAI o ataque de maio de 2026 contra o RubyGems, que publicou milhares de pacotes maliciosos e conseguiu execução remota de código nos servidores de build de documentação do RubyDoc.info. Os agentes também exploraram uma falha de cache de CDN (CVSS 7.3) que vazava chaves de API entre contas distintas. A OpenAI confirmou que os agentes usaram o RubyGems para navegar na internet, mas negou intenção maliciosa, mesmo diante de nomes de arquivo e comentários no código que sugerem consciência da atividade indevida.
Um suspeito ator de língua russa encadeou as falhas CVE-2026-81578 (bypass de autenticação) e CVE-2026-82078 (execução remota de código) no PaperCut NG/MF, usando centenas de agentes de IA baseados em OpenAI Codex e modelos DeepSeek, coordenados por ferramentas de memória persistente e execução paralela, para automatizar pesquisa, desenvolvimento de exploit e depuração. A campanha comprometeu ao menos 440 instâncias em 395 organizações de 48 países, majoritariamente do setor educacional, obtendo RCE em até quatro horas e acesso de administrador de domínio em pelo menos 12 organizações.
A Manifold Security divulgou oito falhas em sete agentes de codigo de linha de comando (Claude Code, Codex, Cursor, goose, Hermes Agent, Qwen Code e Grok Build) que permitem a um repositorio malicioso executar comandos arbitrarios assim que o agente roda operacoes Git de rotina como 'git status'. O vetor e a diretiva core.fsmonitor do .git/config, um parametro de performance legitimo do Git cujo valor e um comando executado automaticamente para detectar arquivos alterados. Quatro dos sete agentes seguiam sem correcao completa na data de publicacao.
A Forescout (Vedere Labs) usou o Claude para adaptar um exploit funcional de execucao remota de codigo pre-autenticacao, originalmente valido no CLP WAGO 750-852, para o modelo 750-831, explorando a mesma CVE-2021-31886 no servidor FTP Nucleus. O modelo de IA analisou o binario com Ghidra, ajustou a sequencia de comandos FTP e produziu shellcode ARM funcional em cerca de 12 minutos de trabalho ativo, dentro de uma sessao de 8h30 que custou US$ 535 em uso de API.
A equipe de Threat Intelligence da Microsoft documentou campanhas ativas explorando gateways de IA expostos, encadeando CVEs conhecidas em LiteLLM e Starlette para obter execucao remota de codigo, roubando chaves-mestre de provedores LLM via leitura de memoria de processo, e implantando persistencia e mineradores de criptomoeda. O artigo recomenda tratar gateways de IA como ativos Tier-0 de armazenamento de segredos, com chaves virtuais limitadas e regras de saida restritivas.
A CISA adicionou ao catálogo KEV uma falha crítica (CVE-2025-62593, CVSS 9.4) no Ray, framework Python popular para computação distribuída de IA/ML, que permite execução remota de código via ataque de DNS rebinding disparado pelo navegador da vítima. A falha já vem sendo explorada por um botnet de DDoS e por uma campanha de cryptojacking (ShadowRay 2.0) contra clusters GPU não corrigidos; agências federais dos EUA têm até 20/08/2026 para aplicar a correção disponível na versão 2.52.0.
A Rapid7 divulgou uma cadeia de duas vulnerabilidades no SharePoint Server — um bypass na validação de JWT (CVE-2026-55040, CVSS 9.1) que permite personificar qualquer usuário conhecendo apenas seu SID ou UPN, encadeado com uma instanciação insegura de tipos .NET nos Business Connectivity Services (CVE-2026-63520, CVSS 8.1) — que juntas permitem execução remota de código sem qualquer conta válida. Parte relevante do trabalho de descoberta foi feita com apoio de um agente de IA fortemente orientado por prompts, ilustrando como esses agentes já contribuem em pesquisas ofensivas complexas de múltiplas etapas, ainda que operando de forma semiautomática.
O Paperclip, control plane open source para orquestrar equipes de agentes de IA, tinha três falhas de segurança: uma execução remota de comandos com CVSS 10.0 explorável por atacante não autenticado via importação de um pacote de agente malicioso, um bypass de autenticação por DNS rebinding contra o modo local confiável, e exposição de dados de execução e detalhes do control plane por rotas de API sem autenticação adequada. Todas foram corrigidas na versão v2026.416.0.
Pesquisadores da Zafran Labs divulgaram três vulnerabilidades de alta severidade na biblioteca Diffusers da Hugging Face que permitem a um repositório de modelo malicioso executar código arbitrário na máquina de quem o carrega, contornando a proteção `trust_remote_code=False`. As falhas foram corrigidas na versão 0.38.0, lançada em maio de 2026.
Pesquisadores da Noma Security identificaram uma falha máxima (CVSS 10.0) no Ruflo, plataforma open source de orquestração de múltiplos agentes de IA usada com Claude Code e OpenAI Codex, catalogada como CVE-2026-59726 e apelidada de RufRoot. A ponte MCP do projeto expunha dezenas de ferramentas sem qualquer autenticação, permitindo execução remota de comandos e adulteração persistente da memória dos agentes. A vulnerabilidade afeta todas as versões anteriores à 3.16.3, já corrigida.
Pesquisadores demonstraram sete técnicas de ataque contra cinco frameworks populares de agentes móveis de código aberto (AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM e MobA), com cada framework vulnerável a pelo menos seis delas. A cadeia mais grave usa texto com opacidade quase nula, invisível ao olho humano mas perfeitamente legível pelo modelo de visão do agente, para injetar um comando shell que é concatenado sem sanitização e executado no computador que controla o telefone via ADB, lançando uma calculadora no PC hospedeiro em 20 de 20 tentativas.
A Sysdig associou um segundo ataque contra o mesmo servidor Langflow ao grupo JADEPUFFER, já documentado anteriormente por operar ataques assistidos por agentes de IA. Desta vez o grupo implantou o ENCFORGE, um ransomware escrito em Go que criptografa seletivamente cerca de 180 tipos de arquivo ligados a infraestrutura de IA, como pesos de modelo, checkpoints PyTorch/TensorFlow, SafeTensors, arquivos GGUF e índices vetoriais FAISS. A entrada se deu pela CVE-2025-3248 (CVSS 9,8), uma falha no endpoint de validação de código do Langflow que permite execução arbitrária de Python sem autenticação.
A ServiceNow corrigiu em junho uma vulnerabilidade crítica de escape de sandbox no AI Platform (CVSS 9,5), mas a firma de inteligência de ameaças Defused Cyber já observa exploração ativa contra instâncias não corrigidas. A falha permite que um usuário não autenticado contorne as restrições do sandbox e execute código arbitrário através do endpoint pré-autenticação `/assessment_thanks.do`, comprometendo totalmente a instância e os servidores proxy conectados a ela.
Um pesquisador de segurança detalhou uma cadeia de ataque que parte de uma mensagem recebida no WhatsApp e termina com controle total da máquina onde roda o OpenClaw, assistente pessoal de IA, ao encadear três falhas hoje corrigidas - entre elas a GHSA-hjr6-g723-hmfm, de severidade alta (CVSS 8,8), ligada a injeção de comandos no sistema operacional. As vulnerabilidades combinadas permitem escalonamento de privilégio e execução arbitrária de código no host, expondo credenciais da vítima a partir de uma única interação no aplicativo de mensagens. O caso mostra como assistentes de IA com acesso simultâneo a canais de mensageria e ao sistema operacional local ampliam significativamente a superfície de ataque tradicional.