GitLab ha distribuito la versione correttiva 19.3.1 il 26 agosto. Tra le correzioni c’è CVE-2026-18252, descritta come un problema di "Inclusion of Functionality from Untrusted Control Sphere issue in Duo Claude AI agent impacts GitLab EE." È la vulnerabilità più istruttiva tra quelle divulgate questa settimana per un agente AI, e verrà descritta in modo errato.

Che cosa è andato davvero storto

La formulazione di GitLab è questa: l’azienda "has remediated an issue that, under certain conditions, an authenticated user with developer-role permissions could have executed arbitrary commands in a CI context, due to the Claude agent processing configuration from a user-controlled source." L’agente leggeva la propria configurazione da un punto su cui uno sviluppatore poteva scrivere. Qualunque cosa quella configurazione gli dicesse di fare, lui la eseguiva — dentro CI, con le credenziali di CI.

Dove sbaglia la lettura più comune

Qualunque cosa coinvolga un LLM e l’esecuzione di comandi viene archiviata come prompt injection o jailbreak — un modello convinto ad aggirare i propri guardrail. Qui non è così. Si tratta di un classico errore di confine di fiducia, la stessa classe di bug che si avrebbe leggendo uno script di build da un percorso non attendibile, e si presenterebbe nella stessa forma identica anche se il componente che legge quella configurazione non contenesse alcun modello. La distinzione è importante per la rimediabilità: la prompt injection si mitiga con difese a livello di modello, probabilistiche e incomplete, mentre qui la correzione consiste nel non leggere la configurazione da una posizione scrivibile. GitLab ha risolto il problema nel secondo modo, ed è la scelta giusta; definirlo un fallimento della sicurezza AI oscura il fatto che la correzione è deterministica.

Chi ha assegnato il punteggio e perché conta

La valutazione è 7.3 High sul vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N. GitLab è la propria CNA, quindi quel punteggio è la valutazione dell’azienda del proprio difetto, pubblicata mentre il dettaglio tecnico resta sotto embargo. Il vettore è coerente internamente — privilegi bassi richiesti, interazione dell’utente richiesta, nessun impatto sulla disponibilità — e non c’è motivo di sospettare che sia errato. Ma un analista indipendente non può verificarlo finché GitLab non apre il caso, in genere circa 30 giorni dopo la patch. Fino ad allora, la gravità di una vulnerabilità di un agente in una piattaforma CI ampiamente distribuita si basa interamente sulla parola della piattaforma stessa.

Cosa fare ora

Le versioni interessate sono GitLab EE 18.9 prima di 19.1.7, 19.2 prima di 19.2.5 e 19.3 prima di 19.3.1. La falla è stata segnalata tramite il programma HackerOne di GitLab. La condizione preliminare è un account con ruolo developer, che nella maggior parte delle organizzazioni non rappresenta un ostacolo elevato — è il livello di autorizzazione standard per chiunque scriva codice. Le istanze self-managed che eseguono Duo con l’agente Claude dovrebbero considerare questa la priorità della release.