MLflow CrewAI autologging 明文记录 LLM API 密钥

CVE-2026-116691 披露 MLflow 的 CrewAI autologging 集成存在凭据泄露漏洞：mlflow.crewai.autolog() 会将 LLM 供应商 API 密钥以明文形式写入 trace 数据，能读取这些 trace 或其配置存储位置的任何人都可能获取这些凭据。 受影响范围为 MLflow 2.19.0 至 3.17.0 之前的版本，该集成在记录 CrewAI Agent 对象时未对嵌套的凭据字段做一致脱敏。问题已在 3.17.0 修复。该漏洞未列入 CISA KEV 已知利用清单，Exploit-DB 上也无公开利用代码。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。