IBM 的 Payment Agent 接受未经身份验证的 Runbook 写入 — CVE-2026-18875

IBM 披露了其支付平台 IBM Financial Transaction Manager 的 AI 代理服务器中的一个漏洞：未经任何凭据的调用方可以将自己选定的运行手册写入该代理所检索的向量数据库，随后该代理自身的 Model Context Protocol 工具调用可能会受其读取到的内容所操纵。IBM 于 2026 年 9 月 21 日发布的安全公告称，该漏洞可能导致“未经授权的支付操作或支付数据外泄。”该 CVE，CVE-2026-18875，于 2026 年 9 月 23 日发布，CVSS 3.1 基础评分为 7.3，映射至 CWE-74，位于 api.vectordb.runbooks.js:51。目前尚未记录到野外利用，也没有任何客户、支付或数据损失被归因于该漏洞。本说明取自Orca AI Incident Archive中的单条记录，该档案将 CVE-2026-18875 记录为中等严重性漏洞，未记录任何危害，并将其与其他已记录的代理事件并列。

一份包含四十七个 CVE 的公告中的一个 CVE

IBM 针对此漏洞的公告并非独立通知。它只是安全公告：IBM Financial Transaction Manager (FTM) 受多个漏洞影响中的一个条目，文档 UID 为 ibm17288641，其受影响产品表和修复表涵盖该批次中的每个 CVE。该页面包含 47 个不同的 CVE 标识符，IBM 给出的评分从 3.7 到 9.9，其变更历史恰好只有一行：“2026年9月21日：首次发布。”该公告发布后未作修订，其致谢部分为空——对于这 47 项发现中的任何一项，IBM 均未致谢任何研究人员、报告者或客户。

RAG 条目是那份清单里的异类。邻近的 CVE 描述大多读起来像是寻常的中间件卫生问题：硬编码的加密密钥、路径遍历、XML 外部实体处理、不安全的反序列化，以及一处缺失的授权检查——IBM 称其"可能允许远程攻击者执行未经授权的支付操作"。CVE-2026-18875 是唯一一个描述了该产品的 AI 智能体在获取其推理所依据的素材这一环节上存在缺陷的条目。以下是 IBM 的描述，完整引自该安全公告：

IBM Financial Transaction Manager (FTM) 4.x 存在 RAG 投毒漏洞：在 FTM AI 代理服务器（api.vectordb.runbooks.js:51）中，未经身份验证的 runbook 更新插入（CWE-74）可被利用。未经身份验证的攻击者可将恶意 runbook 内容插入代理的向量数据库，从而操纵由 AI 驱动的 MCP 工具调用，可能触发未经授权的支付操作或窃取支付数据。

这些日期值得区分开来，因为记录和公告使用的并不是同一个日期。IBM 的公告所载的最初发布日期为 2026 年 9 月 21 日。CVE 标识符于 2026 年 8 月 4 日预留，而 CVE 记录本身于 2026 年 9 月 23 日 15:47 UTC 发布；NVD 的条目于同日 16:16 UTC 随后发布。归档以精确到日的精度将该事件记在 2026 年 9 月 23 日，即 CVE 公开当天。

机制：向智能体所信任的存储中写入内容

检索增强生成系统的工作方式是：从存储中获取段落，并将它们作为上下文放到模型面前。IBM 的公告在该层中放置了一个“runbook upsert”函数——该操作会将 runbook 条目写入智能体的向量数据库——并表示该操作未经身份验证就接受了写入。公告中的路径 api.vectordb.runbooks.js:51 指向一个 JavaScript 服务，这就是 IBM 所披露的全部架构信息。

这使得它与大多数智能体事件所围绕的间接提示注入成为截然不同的命题。在通常情形下，攻击者必须让内容进入浏览页面或读取文件的智能体视野：污染智能体将要抓取的页面、将要打开的文档、将要摘要的电子邮件。而在这里，无需从外部抓取任何内容。攻击者将受污染的知识直接写入智能体已经信任的存储库，而该存储库会在支付工作流中把它作为经过审查的操作指南交还回来。威胁情报公司 Redbot Security 将该缺陷记录为 RBT-TI-0099，并将其定性为带有零点击数据外泄的间接提示注入；它用一句话点明了这一区别：“检索到的内容可能成为一种操作影响力。”该存档出于同样的原因将这条记录标记为 IPI 和 INFRA——注入路径是智能体的指令层，而漏洞存在于基础设施之中。

IBM 没说的内容与它说的内容同样重要。该公告没有点名该智能体可以调用的 MCP 工具，没有说明它们能触达哪些支付操作，没有说明 upsert 路由是在默认 FTM 部署中暴露，还是仅在特定配置中暴露，也没有描述本应保护它的身份验证模型。它只说“可能”，然后就到此为止。

读到 7.3

CVSS 3.1 向量为 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L。拆解来看：可经由网络触达、攻击复杂度低、无需任何权限、无需用户交互——这正是它严重的原因——再加上低机密性、低完整性和低可用性影响，作用域不变。IBM 自己的数据将可利用性定为 3.9，影响定为 3.4。IBM 评估的每一个影响维度都是"低"。7.3 这个分数几乎完全是由该漏洞的易触达程度撑起来的，而不是因为 IBM 认为它能造成多大的破坏。

IBM 是唯一对其进行评分的机构。NVD 将 CVE-2026-18875 标记为截至 2026 年 10 月 7 日“Analyzed”，但其记录中唯一的 CVSS 指标来自 IBM，标记为 Secondary；NVD 自身未提供主评分。GitHub 的 Advisory Database 载有相同的描述和相同的 7.3 分，发布于 2026 年 9 月 23 日 18:31 UTC。

最接近 IBM 未撰写的评估的内容，来自 CISA 在 CVE 记录上的 ADP Vulnrichment 区块，即 2026 年 9 月 23 日 18:48 UTC 记录的一项 SSVC 2.0.3 判定：利用情况：无。可自动化：是。技术影响：部分。这一判定同时说明了两件事，而这两点应当放在同一句话里：CISA 的协调员在发布时未发现任何利用活动，并认为该缺陷可自动化——即属于扫描器或脚本能够处理的一类问题，而非一次性的手工攻击。

FIRST 的漏洞利用预测评分系统（EPSS）在日期为 2026 年 10 月 25 日的模型运行中，将 CVE-2026-18875 评为 0.00369，约合 0.37%，处于第 30 百分位。EPSS 估算的是未来 30 天内观测到实际利用的概率；第 30 百分位的分数是一个不温不火的数字，而且它只是一项预测，并非对任何已发生事件的报告。

什么是已确立的，什么不是

已确认。 该漏洞存在，并记录在彼此一致的一手来源中：IBM 于 2026 年 9 月 21 日发布的公告、2026 年 9 月 23 日发布的 CVE 记录、NVD 的分析条目以及 GitHub 的公告。受影响的版本范围、修复版本、CVSS 分数和向量、CWE 映射以及代码位置在这些来源中完全相同。写入路径无需凭据即可访问——这一点写在 IBM 自己的描述中，而不是从分数推断出来的。CISA 的协调员记录未发现利用情况。归档将记录置信度评为 A，无争议，并将实际危害记录为 false。

• 该漏洞。FTM AI 智能体服务器中 api.vectordb.runbooks.js:51 处存在未经身份验证的 runbook upsert，使攻击者能够向该智能体检索所用的向量数据库插入内容。这是 IBM 的措辞，并非重构。

• IBM 声称的后果。被投毒的内容可能将 MCP 工具调用引导至未经授权的支付操作，或导致支付数据外泄。IBM 将此表述为一种潜在后果；它并未声称已在客户环境中实际演示过这一点。

• 修复方案。 FTM 4.0.11.0，引用自 IBM 支持节点 7285661。公告的“变通方法和缓解措施”字段显示“无”。

• 漏洞利用记录。无。CISA 于 2026 年 9 月 23 日发布的 SSVC 记录载明“利用：无”；截至 2026 年 10 月 25 日，EPSS 数值为 0.37%，这是预测而非观测；在所审查的任何来源中均未出现受害者、交易或损失。

尚未确定。是谁发现了该漏洞以及如何发现的——公告未提及任何人，也没有来自具名研究人员的公开报告。易受攻击的路由是在默认部署中暴露，还是仅在特定配置下暴露。4.0.11.0 实际改变了什么：upsert 路由现在是要求身份验证，还是已被移除，或以其他方式收窄。是否有任何 FTM 部署曾将该端点暴露给不受信任的网络，以及在 8 月 4 日预留与 9 月 23 日发布之间持续了多久。以及 IBM 警告的支付操作是否曾在任何地方被尝试。

次级跟踪器中的版本范围并不完全一致。有些将受影响范围表述为“4.0.6.0 及更早版本”，这与 IBM 发布的内容不符；另一些则给出从 4.0.7.0 起至但不包括 4.0.11.0 的范围，这与 NVD 的机器可读配置一致，但遗漏了 4.0.6.0 临时修复版本线。IBM 的公告在此具有权威性，并列出了上方卡片中复现的六条版本线。

还有一点尚未得到确认，因为没有人尝试去确认它：似乎没有任何主流新闻机构或独立研究实验室发布过自己对 CVE-2026-18875 的分析。在公开记录中，唯一并非由 IBM 撰写的评估是 CISA 的三字段 SSVC 区块。截至 2026 年 10 月 26 日，相关材料包括 IBM 的公告、CVE 记录、NVD、GitHub 的公告，以及一组复述 IBM 文本的漏洞跟踪器。关于该 CVE 的若干搜索结果是一些来源不明的博客文章，读起来像是机器生成的，其中一些发布在同时也发布加密货币价格小部件的网站上；这里没有将其中任何一篇用作来源。关于这个漏洞，不存在第二份独立说明。

修复方案，以及其后的空白

IBM 的修复措施只是版本升级，别无其他：将 FTM for Red Hat OpenShift 部署升级到 4.0.11.0，首个修复见于支持节点 7285661，且未提供临时变通方案。最后这一点才是实际上最重要的。当供应商在“变通方案”一栏发布“无”时，无法按照支付业务时间表升级到 4.0.11.0 的运维人员就只剩下供应商没有写明的措施——限制谁可以访问代理服务器的 runbook 接口，而这是 Redbot Security 建议、IBM 并未建议的做法。

风险有多大，取决于 FTM 是什么。IBM 将其描述为“一个统一的支付枢纽，可安全地处理、监控和管理所有支付类型，包括批量和实时模式”，支持 ISO 20022 的交易处理和路由，并配有用于经认证 SWIFT 连接的配套 SWIFT 产品。IBM 的产品页面还宣传 FTM AI Assistant，这是一个“具备代理能力、由生成式 AI 驱动的对话式界面”，涵盖支付、审批、系统性能和文档。该安全公告将“FTM AI agent server”列为漏洞所在位置，却未说明该服务器与营销页面上的助手有何关系。任何将这两份文档结合起来绘制架构图的人，都只能靠猜。

Redbot 从该案例中得出的设计教训，是在补丁之后依然成立的那一条：让检索到的内容不进入授权路径。其建议是：运行手册的创建、替换和删除都需要身份验证、批准和归属；绝不允许检索到的运行手册自行授权付款、扩大交易范围或允许外部数据传输；并且无论代理如何解释其检索到的内容，所连接的支付服务都要执行自己的权限。这些是一家威胁情报公司的建议，而非 IBM 的承诺，而 IBM 的公告并未作出其中任何一项。

为什么档案馆称之为“中等”

记录与 CVSS 评分回答的是不同的问题，而两者之间的差距正是对本案最诚实的总结。IBM 给出的 7.3 是一个 HIGH 档评分，针对的是一个轻易即可触达的缺陷。档案将该条目记为漏洞而非事件，其严重性为 medium，实际危害为 false，置信度为 A，且无争议标记，日期精确到 2026 年 9 月 23 日当天，并带有全球区域字段。这些字段描述的是发生了什么，而实际发生的是：什么也没有。

这种组合正是该条目的重点。一个会从任何人都能写入的存储中读取数据的支付代理，是一项严肃的工程成果，而且在据知尚无人使用过它之前，就已通过一次版本升级得到修复。两部分都属实，而记录将二者分开保留，而不是让分数或沉默独自说明问题。