Omnigent 是一个开源元封装工具，它在单一策略和沙箱层之后运行编码代理，于 9 月 2 日一次性收到了 四份安全通告。其中包括一个针对运行主机的严重认证远程代码执行问题，以及另外两个高严重性漏洞。最值得完整阅读的是其中评级最低的一个。
“弃权即允许”的漏洞
CVE-2026-62676 描述了一个共享的 shell 命令解析器，它支撑着两个独立控制：仓库和分支允许列表，以及工作目录隔离。当一个受限命令以解析器未建模的形式到来时，它不会产生操作，评估器返回空结果，而空结果会被视为弃权，进而等同于允许。通告列出了可绕过方式：将命令包装进 bash -lc，在前面加上 timeout 或 nice 等包装二进制文件，或者把它藏在命令替换中。该漏洞被归类为 CWE-184，不完整的拒绝列表，而它所处的组件本职工作恰恰是说“不”。
常见表述哪里说错了
有两点。第一，严重性排名颠倒了实际影响：对于把这套封装工具当作隔离层运行的人来说，7.1 比 9.0 更关键，因为它击穿的是产品的核心承诺——运行不受信任的模型输出，但要保持隔离——而不是要求已有的认证访问。第二，也是对扫描 CVE 信息流的读者更重要的一点：这些都不是新漏洞。修复提交在 6 月 26 日和 27 日落地，修补版随即发布；这些通告的日期是 9 月 2 日。这意味着代码修好到用户被告知之间有 68 天的间隔。
为什么这个间隔才是反复出现的教训
任何通过 CVE 发布日期追踪 AI 工具风险的人，看到的都是一个比真实暴露窗口滞后数周到数月的信号。在这个生态里，发布说明才是安全信息流。那些固定依赖代理封装工具版本的团队，应当盯着仓库发布，而不是等通告出现。
它带出的设计原则
通告建议的修复，读起来像是给任何构建工具审批层的人列出的清单：弃权必须等同于拒绝，包装二进制文件必须规范化，评估器在裁定前必须递归进入 sh -c 和命令替换。如今今年搭建的自制审批层，正在实时发出同样形态的漏洞。