AG2/AutoGen: błąd w SandboxShellTool pozwala obejść filtr poleceń

AG2 (wcześniej AutoGen), jeden z najpopularniejszych otwartoźródłowych frameworków do budowy wieloagentowych systemów AI, ujawnił 10 listopada 2026 roku lukę o wysokiej krytyczności, jak podaje AG2 SandboxShellTool Newline Injection Bypasses Command Filter od GitHub Security Advisories. Błąd dotyczy narzędzia SandboxShellTool, które blokuje operatory powłoki takie jak średniki i potoki, ale nie znaki nowej linii, co pozwala atakującemu przemycić drugie polecenie powłoki ponad listą dozwolonych komend i ograniczeniem tylko do odczytu, prowadząc do wykonania dowolnego polecenia na hoście.

Co się zmieniło

• CVE-2026-113663 (GHSA-2h4w-29cv-2cmv): krytyczność wysoka, wynik CVSS 3.1 równy 8,8, opublikowano 10 listopada 2026 roku.
• Dotknięte wersje: ag2 od 0.13.2 do (nie włącznie) 1.1.1, poprawka w 1.1.1; autogen od 0.13.2 do 0.14.1, bez wydanej poprawki, ponieważ pakiet jest przestarzały na rzecz ag2.
• Filtr poleceń w SandboxShellTool blokuje operatory takie jak średniki, podwójne znaki ampersand i potoki, ale nie znaki nowej linii i powrotu karetki.
• Ponieważ polecenia są wykonywane przez sh -c, wstawiony znak nowej linii działa jak separator instrukcji, tak jak średnik, co pozwala przepuścić przez filtr polecenie wyglądające na zablokowane, po którym następuje znak nowej linii i złośliwe polecenie.
• Obejście pokonuje jednocześnie tryb listy dozwolonych oraz ograniczenie readonly=True, a przy domyślnym backendzie LocalEnvironment polecenia działają jako niekontrolowany podproces na hoście, a nie w prawdziwej piaskownicy.

Co to oznacza dla twórców rozwiązań z AI

Głównym wektorem ataku jest pośrednie wstrzyknięcie polecenia: złośliwa treść umieszczona w dokumencie lub w wyniku działania narzędzia, która trafia do modelu LLM agenta, może zostać przetłumaczona na wstrzyknięte polecenie powłoki, wywołując obejście bez żadnej bezpośredniej akcji użytkownika. Skoro AG2/AutoGen jest jednym z najczęściej używanych otwartoźródłowych frameworków do orkiestracji agentów, piaskownica, która w rzeczywistości nią nie jest i którą można aktywować przez wstrzyknięcie polecenia, dotyczy bezpośrednio każdego, kto buduje agentów do kodowania lub operacji z dostępem do narzędzi powłoki w tym frameworku.

Poprawka i dostępność

Poprawkę śledzi commit 3cd86726bb731eb11d6270f0ef9e50e42b5abb39 w repozytorium AG2 i jest ona dostępna od wersji ag2 1.1.1. Pakiet autogen, obejmujący wersje od 0.13.2 do 0.14.1, nie otrzymał poprawki, ponieważ jest przestarzały na rzecz ag2.

Źródła

• AG2 SandboxShellTool Newline Injection Bypasses Command Filter (GitHub Security Advisories, 10 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.