十月十四日两条智能体框架安全消息同步上线。Tenable 容器安全插件收录 CVE-2026-107289：pydantic-ai 与 pydantic-ai-slim 在 IPv6 环境下存在 SSRF（CWE-918），相关问题在 1.107.6 和 2.44.0 修复，CWE 同时标注 CWE-1289。同日 TechGig 报道安全研究者在微软开源智能体框架 Semantic Kernel 里发现两个 CVE 拼成的「致命三连」：CVE-2026-26030 允许攻击者通过搜索插件默认过滤器追加任意代码，CVE-2026-25592 允许两步链把恶意脚本写到 Windows 启动目录，达成持久化 RCE。MCP 也被点名是标准化攻击面。
pydantic-ai 的 IPv6 SSRF 是什么坑？
SSRF 是工具调用 HTTP 请求时没校验目标地址，让 agent 去打内网。pydantic-ai 的问题在 IPv6 环境下才触发——很可能是它的地址白名单只覆盖了 IPv4 私网段（10/8、172.16/12、192.168/16），却漏了 IPv6 的 ULA 段（fc00::/7）和 link-local（fe80::/10）。攻击者把工具 URL 指到一个 IPv6 内网地址，白名单检查失效，请求就打进去了。这种「协议族补丁没打全」的洞在 agent 框架里非常普遍。
Semantic Kernel 的 RCE 链怎么拼？
第一步 CVE-2026-26030：搜索插件默认有一个过滤器参数，攻击者通过提示词注入把过滤器改写成代码片段，插件在执行时把这段代码拼进了执行上下文。第二步 CVE-2026-25592：利用第一步拿到的代码执行能力，把一个 PowerShell 或 batch 脚本写到用户的 Windows Startup 目录，下次登录自动运行。这就是「致命三连」——提示词注入、插件过滤器拼接、启动目录持久化——三步从一个聊天消息到整机接管。
框架团队的当务之急是什么？
一是立刻升级 pydantic-ai 到 1.107.6 或 2.44.0。二是审计自己用的 agent 框架：插件参数有没有做输入校验？HTTP 工具的地址白名单有没有覆盖 IPv6？工具执行有没有沙箱？三是把 Windows 启动目录这类系统路径列写工具的黑名单。MCP 已经是标准化攻击面，每个新工具都是新的越权入口。
对企业安全团队，这两条 CVE 凑在一起是一份现成的审计清单：一、pydantic-ai 升 1.107.6 或 2.44.0；二、Semantic Kernel 升补丁版本；三、所有 agent 的 HTTP 工具白名单同时覆盖 IPv4 私网和 IPv6 ULA/link-local；四、插件参数做严格输入校验，禁止拼接代码；五、写工具的黑名单加上 Windows Startup、Linux rc.local、SSH authorized_keys。MCP 作为标准化协议，每个新工具都是新攻击面，不能因为框架是微软或 Pydantic 出的就默认安全。
去论坛讨论
前往 silicon-agi.com 论坛 参与讨论