Ao longo de uma janela de quatro horas na noite de 21 de agosto, o feed nacional de vulnerabilidades dos EUA publicou 12 registros de CVE cobrindo oito projetos de IA, aprendizado de máquina e ferramentas para agentes. Nenhuma delas é uma nova divulgação. Em todos os casos, o patch já havia sido lançado e o aviso do fornecedor já era público — com antecedência de entre 11 e 118 dias.
A pior lacuna é a pior falha
O maior atraso acompanha a pontuação mais alta. Uma execução remota de código com CVSS 10.0 no framework de serving de modelos Xinference se resume a uma linha — um eval() aplicado à própria saída de tool-call do modelo — de modo que um prompt que leve o modelo a emitir uma chamada de sistema operacional a executa no servidor. A correção foi lançada em 25 de abril; o mantenedor publicou o aviso em 13 de julho; a CVE entrou em 21 de agosto, 118 dias após o patch. O projeto agora está seis versões menores à frente da correção. A pontuação 10.0 também parte do padrão em uso, no qual a autenticação vem desativada — o aviso informa isso.
Quatro de uma vez em um único harness de agentes
Quatro das doze pertencem ao Omnigent, um meta-harness ligado à Databricks que orquestra outros agentes de programação. A mais interessante é uma proteção que falha aberta: o parser de comandos de shell não retorna nada quando não consegue analisar um comando, então, com flags do interpretador combinadas, os wrappers timeout, nice, setsid e stdbuf, substituição de comando e um único operador em segundo plano, tudo resulta em "nenhuma operação analisada" — e as políticas de allowlist do repositório e de confinamento do workspace então se abstêm e permitem a ação. O aviso afirma que um agente autenticado ou injetado por prompt pode usar isso para enviar código a um repositório não autorizado ou escapar do workspace. O autor do relatório é creditado literalmente como um agente autônomo de segurança. Um registro separado, no framework UFO da Microsoft, vincula um servidor local de agentes a uma porta que não valida nem Host nem Origin; assim, qualquer página da web pode reatribuir-se a ele e executar comandos. O commit da correção permaneceu no repositório por 45 dias antes de um release levá-lo aos usuários.
O que a formulação comum erra
A partir de segunda-feira, isso será noticiado como falhas críticas recém-divulgadas na infraestrutura de IA. Na verdade, o feed está apenas alcançando os patches. Há também uma armadilha para quem checa: a API de Advisory do GitHub retorna um carimbo de publicação de 21 de agosto para advisories cujas páginas no repositório indicam julho. O campo da API registra quando o banco de dados global do GitHub revisou o advisory, não quando o mantenedor o publicou — e uma reportagem que cite a data da API estará errada de um modo que não deixa rastros.
O padrão por trás disso
Seis as doze até o osso, e um tipo de falha se repete: frameworks de agentes tratando a saída do modelo, a configuração ou uma porta local não autenticada como entrada confiável. Enquanto isso, o intervalo mediano entre o lançamento de uma correção e o aparecimento de sua CVE é de cerca de 55 dias, período em que o patch fica no histórico público do git — trivially diffable em um exploit — enquanto nada avisa um operador downstream para atualizar.