2026年10月3日，AI 基础设施正迅速成为企业攻击面的一部分，而 CVE-2026-90970 就是一个很好的例子。
零日漏洞报告
该漏洞影响 GitLab AI Gateway，CVSS 分数为 9.9（关键）。它允许具有 Duo Agent Platform 访问权限的经过身份验证的用户潜在地逃逸出提示模板使用的沙箱，并在底层 AI Gateway 主机上执行任意命令。
发生了什么？
该问题是自定义流功能中的模板注入和沙箱逃逸漏洞。
一个特别构造的流配置可以突破预期的模板沙箱。如果成功利用，攻击者可以在网关服务器上执行命令。
攻击路径基本上是：
黑客攻击
经过身份验证的访问 → 恶意流 → 沙箱逃逸 → 命令执行
攻击者确实需要访问受影响的 Duo Agent Platform 功能，但一旦获得该访问权限，则不需要额外的用户交互。
受影响的版本
受影响的版本包括：
18.1.6–19.2.3
19.3.0–19.3.1
19.4.0
修复版本：
19.2.4
19.3.2
19.4.1
该漏洞主要影响运行自托管 AI Gateway 部署的组织。
它正在被利用吗？
目前没有确认的主动利用证据，CVE-2026-90970 目前未在 CISA KEV 目录中列出。
也就是说，导致命令执行的 9.9 级漏洞不应被搁置在待办事项中。
威胁情报平台
安全团队应该做什么？
如果您正在运行自托管的 AI Gateway：
识别已部署的版本。
升级到修复版本。
检查 Duo Agent Platform 和自定义流权限。
检查网关和主机日志，查看是否有可疑的流配置或意外的命令执行（如果暴露了易受攻击的版本）。
审查网关可以访问的凭证、令牌和内部服务。
更大的教训
CVE-2026-90970 的有趣之处不仅在于 RCE。
基础设施安全咨询
它展示了 AI 工作流如何成为基础设施攻击路径。
提示模板、代理流和 AI 网关可能看起来像应用级组件，但一旦它们能够影响服务器端执行，它们就成为安全边界的一部分。
AI 安全与传统基础设施安全现在紧密相连。