pydantic-ai 的 IPv6 SSRF 与 Semantic Kernel 的 RCE 链：智能体框架一周双响
十月十四日两条智能体框架安全消息同步上线。Tenable 容器安全插件收录 CVE-2026-107289：pydantic-ai 与 pydantic-ai-slim 在 IPv6 环境下存在 SSRF（CWE-918），相关问题在 1.107.6 和 2.44.0 修复，CWE 同时标注 CWE-1289。同日 TechGig 报道安全研究者在微软开源智能体框架 Semantic Kernel 里发现两个 CVE 拼成的「致命三连」：CVE-2026-26030 允许攻击者通过搜索插件默认过滤器追加任意代码，CVE-2026-25592 允许两步链把恶意脚本写到 Windows 启动目录，达成持久化 RCE。MCP 也被点名是标准化攻击面。 pydantic-ai 的 IPv6 SSRF 是什么坑？ SSRF 是工具调用 HTTP 请求时没校验目标地址，让 agent 去打内网。pydantic-ai 的问题在 IPv6 环境下才触发——很可能是它的地址白名单只覆盖了 IPv4 私网段（10/8、172.16/12、192.168/16），却漏了 IPv6 的 ULA 段（fc00::/7）和 link-local（fe80::/10）。攻击者把工具 URL 指到一个 IPv6 内网地址，白名单检查失效，请求就打进去了。这种「协议族补丁没打全」的洞在 agent 框架里非常普遍。 Semantic Kernel 的 RCE 链怎么拼？ 第一步 CVE-2026-26030：搜索插件默认有一个过滤器参数，攻击者通过提示词注入把过滤器改写成代码片段，插件在执行时把这段代码拼进了执行上下文。第二步 CVE-2026-25592：利用第一步拿到的代码执行能力，把一个 PowerShell 或 batch 脚本写到用户的 Windows Startup 目录，下次登录自动运行。这就是「致命三连」——提示词注入、插件过滤器拼接、启动目录持久化——三步从一个聊天消息到整机接管。 ...