何が起きたか
Google の langfun ライブラリ (0.1.2 より前のバージョン) のデフォルト lf.query Python プロトコルは、サンドボックスなしでモデル生成の Python 式を評価します。リモート認証なしの攻撃者は、LLM に実行可能な Python 式を生成させるプロンプト入力を作成でき、その後、これらの式はホストアプリケーションのコンテキストで直接評価されます。
なぜ重要か
langfun は LLM 出力を実行可能なプロトコルに構造化するために使用されます。モデル生成コードのサンドボックス化されていない eval は、任意のプロンプト注入可能な入力サーフェスをホストアプリケーションに対するリモートコード実行ベクトルに変え、プロンプト注入が任意のコード実行に到達する直接的なケースとなります。
攻撃経路
作成されたプロンプト入力により、LLM は malicious Python 式を発行し、langfun はそれを lf.query を介してサンドボックス化されていない状態で評価します。
影響を受けるシステム
Google langfun < 0.1.2
緩和策
langfun >= 0.1.2 にアップグレードしてください。本番環境でモデル生成コードのサンドボックス化されていない eval を回避してください。