무슨 일이 있었나
1.1.2 이전까지, 기본 워크플로우 코드-노드 경로는 LocalExecutor를 선택했으며, 이는 문서화된 샌드박스 제한 없이 동적으로 실행되는 코드에 완전한 Python 내장 기능을 제공합니다. NVD가 REST API를 통해 확인 (2026-10-09 게시, GitHub 보안 권고; CVSS 9.9 CWE-95/CWE-306/CWE-653/CWE-863).
왜 중요한가
에이전틱 워크플로우 플랫폼은 정확히 '모델 출력이 코드 실행을 구동하는' 샌드박스 이스케이프가 중요한 표면입니다; 이는 AI 에이전트 오케스트레이션 플랫폼에서의 직접적인 크로스-테넌트 서버 측 코드 실행 프리미티브이며, 이론적인 프롬프트 인젝션 논문이 아닙니다 — 공격자는 낮은 권한의 테넌트 계정만 필요합니다.
공격 경로
인증된 낮은 권한의 테넌트가 기본 워크플로우 코드-노드 경로를 통해 코드를 제출합니다; CODE_EXEC_TYPE이 설정되지 않았기 때문에, LocalExecutor는 핵심 워크플로우 컨테이너에서 루트로 전체 Python 내장 기능을 사용하여 코드를 실행하며, 공격자는 공유 자격 증명을 사용하여 테넌트 검사를 우회하고, 다른 테넌트의 데이터를 읽거나 수정하고, 공유 서비스를 방해할 수 있습니다.
영향받는 시스템
iflytek/astron-agent < 1.1.2 (/console-api/workflow/code/run 및 /workflow/v1/run을 통한 기본 워크플로우 코드-노드 경로)
완화 방안
1.1.2로 업그레이드하십시오 (커밋 848daba03e5e045435863815be7ab6dfbcefc18f; GHSA-mh3w-4q3f-2fg5). 코드 노드에 명시적인 샌드박스 실행기를 적용하십시오.