CVE-2026-91987

Nome do Software Vulnerável e Versões Afetadas atomic-agents-stack versões anteriores a 1.1.0

Description Existe uma falha de bypass nos limites de custo na função estimate batch cost() dentro de atomic agents/agent.py. A função utiliza PRICING.get(model, {}) para buscar os preços de saída por modelo, retornando o valor 0.0 para qualquer modelo não presente na tabela de preços pré-definida. Consequentemente, a função check batch reservation() ignora completamente o processo de reserva de lote quando a reserva é menor ou igual a zero. Isso permite que atacantes utilizem identificadores de modelos desconhecidos — como modelos auto-hospedados, Ollama ou vLLM — para burlar os limites de custo diários e exceder os orçamentos em operações de lote paralelas, já que a reserva é a principal defesa contra corridas de fan-out onde múltiplos auxiliares paralelos leem o mesmo total de custo em disco simultaneamente.

Recommendations Atualize o atomic-agents-stack para a versão 1.1.0 ou posterior. Como medida paliativa temporária, evite usar identificadores de modelos que não estejam listados na tabela de preços pré-definida quando cost guardrails e daily cap usd estiverem ativados.