GitLab已针对AI Gateway中的一处严重漏洞发布紧急安全更新，攻击者通过身份认证后可利用该漏洞远程执行代码。
该漏洞编号为CVE-2026-90970，CVSS评分为9.9，主要影响自托管部署的AI Gateway实例，这类实例用于支撑GitLab Duo AI功能。
GitLab已发布AI Gateway 19.2.4、19.3.2、19.4.1三个版本修复该漏洞。官方强烈建议运行受影响自托管网关的客户立即升级。在发布安全公告前，GitLab已提前联系所有自托管AI Gateway客户，告知更新要求并提供前期指导。
Part01
漏洞源于提示词模板沙箱逃逸
该漏洞成因是自定义流程提示词模板的处理逻辑存在缺陷。在特定条件下，拥有Duo Agent Platform访问权限的认证用户，可提交特制的流程配置，绕过提示词模板沙箱限制。攻击者成功利用漏洞后，可在AI Gateway上执行任意命令。
沙箱的作用是将模板处理逻辑限制在可控边界内。GitLab表示，本次漏洞中的特制输入可突破该边界，最终达到命令执行效果。因此该漏洞的危害远不止篡改AI响应内容，还会直接影响处理AI请求的核心服务。
根据公开的CVSS向量，该漏洞可通过网络远程利用，攻击复杂度极低。攻击者仅需普通权限即可发起攻击，不需要用户交互。漏洞会严重影响系统的机密性、完整性与可用性。但该漏洞不支持未认证访问利用，攻击者必须持有有效账号，且账号需具备Duo Agent Platform访问权限。
GitLab对安全研究员invisiblemeerkat负责任的漏洞上报行为表示感谢。本次安全公告未提供漏洞利用载荷，也未披露涉及的模板引擎信息，同时没有通报发现漏洞在野利用的情况。公告未披露上述细节是有原因的：本次更新仅证实存在严重安全缺陷，并不意味着攻击者已经开始利用该漏洞。
受影响的AI Gateway版本包括：18.1.6及以上、19.2.4以下的版本，19.3分支中19.3.2之前的版本，以及19.4分支中19.4.1之前的版本。上述版本范围仅针对AI Gateway组件。管理员需要核查网关部署的实际版本，不能仅以主GitLab实例的版本号作为判断依据。
GitLab已经为其托管的AI Gateway部署了修复补丁。使用GitLab.com、GitLab Dedicated服务，或是连接GitLab官方托管AI Gateway的GitLab Self-Managed实例用户，已受到官方保护，无需针对该漏洞采取操作。自行部署受影响版本AI Gateway的客户，必须手动安装更新。
明确这一区别很重要，因为GitLab的自托管AI架构允许企业在自有环境内，管理发往所选模型后端的所有请求。Cybersecurity News此前曾报道过GitLab Duo的另一处提示词注入漏洞，当时的漏洞可导致源代码泄露。该漏洞与本次的网关沙箱逃逸漏洞完全不同，需注意区分。
Part02
管理员需立即升级网关
管理员需参照GitLab官方AI Gateway安装升级文档，部署已打补丁的镜像。部署完成后需要校验运行状态，不能跳过必要的验证步骤。
针对Docker部署场景，GitLab给出了明确操作指引。用户需先停止并删除现有容器，拉取最新版本镜像后，配置正确的环境变量启动。部署完成后要校验镜像摘要，运行官方提供的健康检查确认服务状态正常。
针对Kubernetes和Helm部署场景，GitLab提醒，缓存镜像可能导致无法拉取到更新后的代码。官方建议通过指定镜像摘要或设置合适的拉取策略，避免出现更新不生效的问题。
管理员还应在保留必要连接的前提下，限制网关不必要的出站流量。上述管控措施可帮助提升系统安全加固水平，但最优先的事项仍是立即安装修复版本的AI Gateway，不得拖延。
参考来源：
Critical GitLab AI Gateway Vulnerability Enables Remote Code Execution Attacks
https://cybersecuritynews.com/gitlab-ai-gateway-vulnerability/
