何が起きたか
AG2のSandboxShellToolの検証は_filterとcontains_shell_operatorに依存して特定のシェル構文を拒否しますが、フィルタは改行/CR区切り文字を見逃し、フィルタリングされていない文字列がsh -cで実行されます。これにより、攻撃者の影響を受けたエージェントコマンドが任意のステートメントを追加して実行できます。デフォルトのLocalEnvironmentバックエンドでは、注入されたコマンドはホストのサブプロセスとして実行され、機密性、完全性、可用性に影響を与えます。
なぜ重要か
これはエージェントサンドボックス脱出クラスです。ツールの分離保証が単一の改行によって破られ、プロンプトインジェクションまたは攻撃者の影響を受けたツール引数が、エージェントを実行しているマシン上でのホストコマンド実行に変わります。これは、防御者が信頼されていないエージェントの動作を封じ込めるために依存しているまさにその境界です。
攻撃経路
ag2/tools/sandbox/filter.pyおよびadapter/shell.pyのコマンドプレフィックスフィルタは、改行とキャリッジリターンの区切り文字を省略する一方、受け入れられた生の文字列がsh -cに渡されます。ツール呼び出し引数に影響を与えることができる攻撃者（間接的なプロンプトインジェクションやチャネルメッセージを介して）は、エージェントプロセスの権限でホストサブプロセスとして実行される追加のシェルステートメントを注入します。
影響を受けるシステム
ag2 >= 0.13.2, < 1.1.1; autogen >= 0.13.2, <= 0.14.1
緩和策
ag2 1.1.1にアップグレードしてください。アドバイザリ: https://github.com/ag2ai/ag2/security/advisories/GHSA-2h4w-29cv-2cmv