Apa yang terjadi
Pemeriksa AST validate_generated_code dan filter BLOCKED_PATTERNS dapat dihindari dengan menyusun rantai panggilan getattr/__builtins__ dinamis, yang tidak dimodelkan oleh pemeriksa. Kode yang diterima ditulis ke disk dan dieksekusi sebagai pengguna proses aplikasi (root di kontainer default), dengan output dikembalikan melalui Server-Sent Events.
Mengapa penting
Maksud agen adalah agar LLM menghasilkan kode yang aman; bypass ini memungkinkan pengguna terautentikasi mana pun (atau, melalui CVE-2026-63377, pengguna milik penyerang) menjalankan kode arbitrer sebagai root di dalam kontainer, mengungkap token API Okta, kunci JWT, dan database SQLite, serta memungkinkan pivoting dan persistensi di dalam host agen.
Vektor serangan
POST /api/react/execute-script menerima Python yang disediakan penyerang di script_code, tetapi validator melewatkan rantai panggilan dinamis getattr/__builtins__ dan kode dieksekusi melalui asyncio.create_subprocess_exec sebagai pengguna kontainer (root).
Sistem yang terdampak
TAKO AI Agent untuk Okta sebelum 3.0.1-beta
Mitigasi
Tingkatkan ke TAKO AI Agent untuk Okta 3.0.1-beta. Commit perbaikan: https://github.com/fctr-id/okta-ai-agent/commit/3b5ccaff8423cdfa6d26f5e133c01b8b71148df4