GitHub ujawnia sposób obejścia zatwierdzania komend w szkielecie OmniAgent

Zgłoszenie bezpieczeństwa GitHub opublikowane 10 listopada 2026 roku opisuje błąd o wysokim poziomie zagrożenia, który pozwala agentom zmanipulowanym przez wstrzyknięcie promptu obejść zatwierdzenie przez człowieka i wykonywać dowolne komendy w OmniAgent.

Serwis GitHub Security Advisories opublikował 10 listopada 2026 roku zgłoszenie bezpieczeństwa opisujące błąd o wysokim poziomie zagrożenia w OmniAgent, szkielecie agentów AI utrzymywanym przez YeQing17-2026/OmniAgent. Błąd pozwala agentom zmanipulowanym przez wstrzyknięcie promptu pominąć zatwierdzenie przez człowieka i wykonać dowolne pliki binarne za pomocą spreparowanej komendy find z flagą -execdir. Szczegóły znajdują się w zgłoszeniu OmniAgent ReflexionAgent command approval bypass via find -execdir.

Co ujawnia zgłoszenie

Identyfikator GHSA GHSA-3ph8-93x7-786r, śledzony również jako CVE-2026-125368.
Stopień zagrożenia oceniono jako wysoki, z wynikiem CVSS 7.7.
Błąd dotyczy OmniAgent do commitu 12b98c5.
Błąd znajduje się w ReflexionAgent._is_safe_bash_command, która traktuje każdą komendę zaczynającą się od find jako bezpieczną, bez sprawdzania jej argumentów -execdir.
Agenci zmanipulowani przez wstrzyknięcie promptu mogą użyć find ... -execdir, aby wywołać pliki binarne takie jak dd, nc, perl lub openssl w niezabezpieczonej powłoce.
Skutkiem jest nieautoryzowane nadpisanie plików lub wykonanie kodu bez zatwierdzenia przez człowieka, co zaklasyfikowano jako CWE-184 (Incomplete List of Disallowed Inputs).

Co to oznacza dla twórców rozwiązań AI

Ten przypadek to konkretny dowód na to, że mechanizm zatwierdzania komend oparty na liście dozwolonych wartości w agencie AI może zostać pokonany przez wstrzyknięcie promptu, wzorzec istotny dla każdego, kto buduje lub ufa automatycznym bramkom zatwierdzania wywołań narzędzi przez agentów. Sprawdzanie jedynie pierwszego słowa komendy, takiego jak find, bez analizy jej argumentów, daje atakującemu możliwość przemycenia wykonania kodu za pomocą flag takich jak -execdir.

Źródła

OmniAgent ReflexionAgent command approval bypass via find -execdir (GitHub Security Advisories, 10 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.