判定
- 現在の判定
- Emergency（緊急）
- 攻撃条件
- 満たす（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たす（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ RCE / シェル取得
解説
- 概要
- Web クロール結果に含まれる ChatML の特殊トークンを無害化せず LLM メッセージへ取り込むため、攻撃者がモデルに権威ある指示として扱わせる内容を挿入できます。
- 影響
- エージェントのガードレールを回避し、Kali Linux サンドボックス内で任意のコマンドを実行できます。
- 対象
- BitterSecurity の Decepticon、decepticon-core、decepticon-sdk の 1.1.17 未満。
- 対策
- バージョン 1.1.17 で修正されています。
- 判定
- AV:N / PR:N / UI:N（CNA・CVSS 3.1） ／ RCE / シェル取得
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 3.1 | AV:N / PR:N / UI:N | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | 2026-09-25 02:40 |
攻撃能力（AI 判定）
| RCE | 該当 |
| 認証回避 | 不明 |
| シェル取得 | 該当 |
| root 取得 | 不明 |
根拠
-
RCE ・ CNA の説明文
resulting in arbitrary command execution inside the Kali Linux sandbox.
-
シェル取得 ・ CNA の説明文
resulting in arbitrary command execution inside the Kali Linux sandbox.
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:54 ・ 入力 SHA-256 aff4ad628c1c
一致した監視対象製品
-
Ruby on Rails — 説明文で一致 （AI の判定: 影響を受けるか 不明）
Decepticon is an autonomous hacking agent for red teams. Versions prior to 1.1.17 wrap web crawl results — the output of agent reconnaissance against target services — into LLM messages without neutralizing ChatML special-token literals. Under the BYOK (Bring Your Own Key) deployment model, users configure their own LLM credentials to any OpenAI-compatible endpoint. Most open-source and self-deployed model providers (vLLM, SGLang, Ollama, LM Studio, text-generation-webui, etc.) do not filter special-token literals from user content in their default configurations. Those literals are parsed into structural role-boundary token IDs, meaning an attacker string planted in a target web page forges a new operator turn the model treats as authoritative, bypassing Decepticon's agent guardrails and resulting in arbitrary command execution inside the Kali Linux sandbox. Version 1.1.17 patches the issue.
変更履歴
-
2026-09-25 03:00
- Emergency（緊急） と判定した
→ Emergency（緊急）