Nell’arco di quattro ore, nella serata del 21 agosto, il feed nazionale statunitense sulle vulnerabilità ha pubblicato 12 record CVE che coprono otto progetti di AI, machine learning e agent-tooling. Nessuna di queste è una nuova disclosure. In tutti i casi la patch era già stata rilasciata e l’avviso del vendor era già pubblico — da 11 a 118 giorni.

Il ritardo più grave riguarda il bug più grave

Il ritardo più lungo coincide con il punteggio più alto. Una esecuzione di codice remoto CVSS 10.0 nel framework di model serving Xinference si riduce a una sola riga — un eval() applicato all’output delle tool-call del modello stesso — così un prompt che induce il modello a emettere una chiamata al sistema operativo la esegue sul server. La correzione è stata distribuita il 25 aprile; il manutentore ha pubblicato l’avviso il 13 luglio; la CVE è arrivata il 21 agosto, 118 giorni dopo la patch. Il progetto è ora a sei release minori di distanza dalla correzione. Il 10.0 presuppone anche il comportamento predefinito distribuito, in cui l’autenticazione è disattivata — lo dice l’avviso.

Quattro insieme in un solo agent harness

Quattro dei dodici riguardano Omnigent, un meta-harness collegato a Databricks che orchestra altri coding agent. Il più interessante è una guardrail che fallisce in modo aperto: il parser dei comandi shell non restituisce nulla quando non riesce a interpretare un comando, quindi, con le flag dell’interprete, i wrapper timeout, nice, setsid e stdbuf, la command substitution e un singolo operatore in background, il risultato è sempre "no parsed operation" — e a quel punto le policy di allowlist del repository e di confinamento dell’area di lavoro si astengono e consentono l’operazione. L’avviso afferma che un agent autenticato o injectato via prompt può usare questo comportamento per inviare codice a un repository non autorizzato o evadere dal workspace. Il ricercatore è indicato testualmente come un autonomous security agent. Una voce separata, nel framework UFO di Microsoft, lega un local agent server a una porta che non valida né Host né Origin, quindi qualsiasi pagina web può ricollegarsi ad esso ed eseguire comandi; il commit della correzione era nel repository da 45 giorni prima che una release lo portasse agli utenti.

Cosa sbaglia la cornice comune

Da lunedì queste vulnerabilità saranno presentate come falle critiche appena scoperte nell’infrastruttura AI. In realtà, il feed sta semplicemente recuperando il ritardo. C’è anche una trappola per chi controlla: l’API di GitHub Advisory restituisce per gli avvisi una data di pubblicazione del 21 agosto anche quando le pagine del repository indicano luglio. Il campo dell’API registra quando il database globale di GitHub ha esaminato l’avviso, non quando il manutentore lo ha pubblicato — e un articolo che cita la data dell’API sbaglia in un modo che non lascia traccia.

Il modello di fondo

Se si isolano i dodici casi, ricorre sempre lo stesso errore: framework agentici che trattano l’output del modello, la configurazione o una porta locale non autenticata come input attendibile. Nel frattempo, il divario mediano tra il rilascio della correzione e la comparsa della sua CVE è di circa 55 giorni, durante i quali la patch resta nella cronologia pubblica del git — banalmente ricostruibile in un exploit — mentre nulla avvisa un operatore downstream di aggiornare.