AI 智能体栽在一份文档手里

一份接口文档能有多危险？Progress 最近给出的答案是：危险到可以直接拿下你的服务器。这家以 DataDirect 数据连接器产品线闻名的厂商披露了一个编号为 CVE-2026-91140 的严重级别命令注入漏洞，影响对象不是传统驱动程序，而是其 DataDirect Autonomous REST Connector AI Model Generator 代理——Early Access 发布版本。攻击者只需要一份特制的 OpenAPI 或 Swagger 文档，就能在受影响代理的运行环境里执行任意操作系统命令。这件事的核心判断只有一句：当 AI 代理开始替人『读文档、写代码、跑命令』，最古老的输入注入漏洞，正在以最时髦的方式卷土重来。

🕳️ 一份 Swagger 文档，变成了一发炮弹

先看这个漏洞本身有多『干净利落』。

Progress 在 2026 年 10 月 6 日发布的安全公告里描述了完整链路：DataDirect Autonomous REST Connector 的 AI Model Generator 代理，本职工作是读取 OpenAPI 或 Swagger 格式的接口描述文档，自动生成用于连接 REST 服务的 AI 模型。这类代理的设计初衷，是让企业不必手写对接代码，扔一份接口规范进去，代理自己搞定。

问题恰恰出在这份『被读的文档』上。CVE-2026-91140 是一个命令注入漏洞：攻击者构造特制的 OpenAPI/Swagger 文档，其中嵌入的内容在代理解析和生成过程中会被带入操作系统命令的执行路径。公告明确指出，结果是『在运行受影响代理的环境中执行任意操作系统命令』。注意措辞——任意命令，不是信息泄露，不是拒绝服务，是直接把 shell 递到攻击者手上。

用一张图看完整攻击链：

把关键事实摆成一张表，更直观：

产业逻辑也很直白。接口文档在企业内网里几乎是最常见的『共享物料』：从合作方邮箱收到的、从代码仓库拉下来的、从内部 Wiki 复制的。没人会像审查可执行文件那样审查一份 Swagger 文档，它长期被当作纯数据。而 CVE-2026-91140 的存在意味着，在 AI 代理的世界里，『纯数据』这个假设已经不成立了——文档即代码，代码即可执行。

📉 老漏洞，新舞台

命令注入不是什么新鲜事。OWASP 把它列进 Top 10 的年头，比很多 AI 工程师的工龄都长。

但把时间线拉开看，会发现一个耐人寻味的循环：十年前，行业花大力气把『解析外部输入』和『执行系统命令』这两件事隔离开，Web 框架、参数化查询、容器化部署，都是这条防线的产物。而 AI 代理的出现，等于把这两件事重新焊在了一起——代理要理解自然语言和结构化文档，要调用工具，要生成并运行代码，要访问文件系统和 Shell。每多一层能力，就把当年拆开的引信重新接回去一截。

Progress 这个漏洞就是典型的『新舞台演老戏』。AI Model Generator 代理的解析管线里，某处存在文档内容与命令执行之间的直通路径，特制文档因此可以越过『这是数据』的边界，直接落到操作系统层。同样的模式在 AI 代理生态里并不罕见：解析用户上传文件的、调用外部 MCP 工具的、自动执行生成代码的代理，只要存在『不可信输入 → 特权执行』的通路，就是同一类风险的变体。

业界的私下说法更直白：安全圈流传一句老话——『每一次计算范式的迁移，都会把 1990 年代的漏洞再交一遍学费。』从 Web 到移动再到云，历史反复验证过。AI 代理只是最新的那批交学费的人。

对企业的启示在于：评估 AI 代理安全时，别只盯着提示词注入和模型越狱这类『新词』。真正先出事的，往往是那些最基础的工程问题——输入校验、命令构造、权限边界。模型层很时髦，但攻击者的第一跳，通常落在最土的地方。

🚦 Early Access 的安全债，谁来还

还有一个细节值得单拎出来：受影响的是 Early Access 发布版本。

Early Access，也就是提前体验版，本质上是厂商把未完成的功能先放给愿意尝鲜的用户。这个模式在开发者工具领域很常见，但落在安全属性极强的产品上，性质就变了。AI Model Generator 代理具备解析外部文档、执行系统命令的能力，属于典型的『高权限组件』。高权限组件走快速通道发布，而快速通道的代价，往往就是压缩了安全测试的深度——尤其是对抗性测试：没人会主动用攻击者视角去喂一份恶意文档。

安全圈私下有个共识：Early Access 在某种程度上就是把生产用户当测试员。这话刻薄，但在 AI 竞速的大背景下越来越像现实。各家厂商都在抢『代理化』的窗口期，功能迭代以周甚至以天计，安全评审的节奏根本追不上发版节奏。结果就是：能力先上线，边界后补课，而补课的成本由早期采用者垫付。

这张表指向一个对企业的实操判断：Early Access 不等于可以降级对待。恰恰相反，凡是具备执行能力的新组件，上线前就该按生产级标准做隔离——单独的运行环境、最小的权限、外联出口管控。把 Early Access 当玩具部署在生产服务器上，等于把一枚未经安全审计的执行引擎接进了内网。

对厂商侧，逻辑同样成立：AI 能力越是自动化，发布前的对抗性测试就越是不可省略的成本。省下的那两周测试时间，最终会以应急响应通告的形式加倍还回去。

🛡️ 防御：把 Agent 当不可信员工

落到防御侧，思路其实可以概括成一句话：把每一个 AI 代理，当成一个刚刚入职、背景不明、还手握服务器权限的新员工来管。

具体到 CVE-2026-91140 这类『文档进、命令出』的漏洞，防御动作可以按流水线拆开：

第一步，清点资产。找出组织内所有部署了 DataDirect Autonomous REST Connector Early Access 版 AI Model Generator 代理的环境，确认版本和暴露面。Early Access 组件最常见的风险不是漏洞本身，而是没人记得它在哪儿跑着。

第二步，隔离运行环境。此类代理不应与业务系统共享宿主机或容器命名空间，文件系统、网络出口、命令执行权限都应显式收窄。即便漏洞被触发，攻击者拿到的也应该是一个几乎干不了事的环境。

第三步，把接口文档当不可信输入。对进入代理的 OpenAPI/Swagger 文档做来源校验与内容检查，未知的、来源不明的文档一律不进解析管线。这份『 paranoia 』在文档即攻击载荷的时代是标配，不是过度反应。

第四步，命令行为审计。代理环境里出现任何非预期进程、异常外联、敏感目录读取，都应实时告警。命令注入类漏洞的危害上限取决于环境权限，而检测能力决定了危害的下限。

更长期的判断是：随着 AI 代理大规模进入企业，安全预算的重心会从『模型安全』逐步转向『运行时管控』——沙箱隔离、权限最小化、行为审计、工具调用治理。原因很简单，CVE-2026-91140 这样的案例会不断提醒所有人：模型再聪明，最后一公里仍然是操作系统命令。

小结

CVE-2026-91140 单看只是又一起严重漏洞披露：Progress 的 Early Access 版 AI 代理，被一份特制文档打穿，任意命令落地。但它指向的趋势值得所有企业记下——AI 代理正在成为内网里权限最高、却最缺乏安全评审的新组件。能力自动化每前进一步，传统的输入校验和权限边界就要重新加固一次。接下来半年，可以预期更多厂商的代理类产品会以类似方式『补学费』。对企业而言，最好的应对不是焦虑，而是把老规矩——隔离、最小权限、不可信输入——原封不动地搬进 AI 时代。