CVE-2026-61732
Açıklama
Decepticon, kırmızı ekipler için otonom bir hackleme aracıdır. 1.1.17 öncesindeki sürümler, hedef servislere yönelik ajan keşif çıktısı olan web tarama sonuçlarını, ChatML özel belirteç (special-token) sabitlerini etkisiz hale getirmeden LLM mesajlarına sarmalamaktadır. BYOK (Kendi Anahtarını Getir) dağıtım modeli altında kullanıcılar, kendi LLM kimlik bilgilerini herhangi bir OpenAI uyumlu uç noktaya yapılandırırlar. Çoğu açık kaynaklı ve kendi kendine konuşlandırılan model sağlayıcısı (vLLM, SGLang, Ollama, LM Studio, text-generation-webui vb.), varsayılan yapılandırmalarında kullanıcı içeriğindeki özel belirteç sabitlerini filtrelemez. Bu sabitler, yapısal rol sınırı belirteç kimliklerine ayrıştırılır; bu da hedef bir web sayfasına yerleştirilen saldırgan dizisinin, modelin yetkili olarak kabul ettiği yeni bir operatör sırası oluşturması anlamına gelir. Bu durum, Decepticon'un ajan korumalarını atlayarak Kali Linux sandbox içerisinde rastgele komut çalıştırılmasına yol açar. 1.1.17 sürümü bu sorunu gidermektedir.
Nasıl düzeltilir
- decepticon1.1.17 ya da sonraki bir sürüm
- decepticon-core1.1.17 ya da sonraki bir sürüm
- decepticon-sdk1.1.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| decepticonPyPI | v < 1.1.17 | 1.1.17 |
| decepticon-corePyPI | v < 1.1.17 | 1.1.17 |
| decepticon-sdkPyPI | v < 1.1.17 | 1.1.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.