Entre 20:20:14 e 20:20:20 UTC em 28 de agosto — uma janela de menos de seis segundos —, nove registros CVE de uma única autoridade de numeração foram publicados contra projetos de agentes de IA. A consulta ao banco de dados nacional de vulnerabilidades durante a janela do lote os retorna como um bloco contíguo.

O que está coberto

Dois registros contra uma estrutura de agentes e sete em cinco projetos: server-side request forgery e path traversal em Qwen-Agent, SSRF na Portkey AI Gateway, validação ausente de propriedade nos endpoints de prompt e chat em Quivr, verificações ausentes de propriedade da conversa em VoltAgent e nomes de arquivo de saída não validados em gpt-crawler. As pontuações vão de 7.1 a 8.6.

O detalhe nas strings de versão

Sete dos nove descrevem o intervalo afetado como "through" a versão atual — through 0.0.34, through 1.15.2, through 0.0.322, through 2.1.20, through 1.5.1 — sem nomear uma versão corrigida. Um CVE que nomeia uma versão corrigida diz ao operador para qual versão atualizar. Estes não dizem, porque não há para onde atualizar. As duas exceções, ambas contra a mesma estrutura de agentes, de fato nomeiam correções.

O que a leitura comum interpreta mal

Um conjunto de CVEs publicados com segundos de diferença parece uma campanha coordenada contra o ecossistema de agentes de IA. Trata-se de o lote de um pesquisador limpando a fila de uma autoridade de numeração — o timing reflete automação de publicação, não atividade de atacante, e as descobertas subjacentes foram divulgadas publicamente aos projetos semanas antes e, em grande parte, ficaram sem resposta. A segunda interpretação equivocada vai na direção oposta: como os projetos são pequenos e as pontuações não são críticas, o lote parece ruído. Entre eles, esses repositórios somam mais de cem mil estrelas, e um SSRF sem correção em um gateway que mantém credenciais de provedores é um problema real, independentemente de como tenha sido catalogado.

A pontuação que merece ser lida duas vezes

O registro da estrutura recebeu 8.3 HIGH no banco de dados nacional sob uma versão do CVSS, e é publicado com uma cifra mais alta, crítica, sob uma versão mais nova em outro lugar. Ambos os números descrevem o mesmo defeito. Seu pré-requisito de exploração também merece ser dito de forma clara: o atacante primeiro precisa comprometer um repositório de terceiros em que a configuração da vítima já confia.