Miércoles 28 de octubre de 2026 ·
Fallo en MLflow: el registro automático de agentes CrewAI copió claves API de modelos en las trazas
Útil para
Un fallo de la función de registro automático de MLflow para CrewAI hacía que las claves API de los proveedores de LLM entraran en las trazas, aunque la aplicación no las escribiera de forma explícita. Se registró como CVE-2026-116691. Las claves llegaban por dos rutas: la representación en texto de las propiedades del agente y la expansión de los objetos pasados a funciones. En la prueba con MLflow 3.16.0 y CrewAI 1.15.18 aparecieron en cinco puntos de dos spans. El registro de LLM solo ya excluía las claves, pero el de agentes no. La primera corrección elimina las credenciales en ambas rutas.
Qué significa
Quien pueda leer las trazas de MLflow, o los destinos de telemetría configurados, podía ver claves de acceso a modelos de IA sin que nadie las hubiera escrito a mano. Afecta a quien usa esa función de registro automático.
Cómo te afecta
- CTO y tecnología
Si usáis el registro automático de MLflow con CrewAI, aplica la corrección y revisa quién puede leer las trazas y a qué destinos de telemetría llegan. Valora rotar las claves de proveedores de LLM que hayan pasado por ellas.
Fuentes originales
Resumen de Hoy en IA. Pulsa una fuente para leer la noticia completa en su idioma original.
- #LLMタグLeer la noticia completa en #LLMタグ
También ese día
Todas las noticias de IA del miércoles 28 de octubre de 2026 ->