事件经过
ash_ai 是 Ash 框架的 LLM 工具调用/结构化输出扩展，通过 EEx.eval_string/2 评估用户提供的提示内容作为可执行的 Elixir 代码且无沙箱，让未认证的远程客户端实现任意代码执行——这是一个协调的 6-CVE 披露的一部分，涵盖框架的整个代理栈（提示评估、工具执行、嵌入、MCP 服务器），全部在 v1.0.0 中修复。
影响分析
这是模型前请求 RCE——攻击者根本不需要欺骗 LLM，只需提交精心构造的提示字符串，使其对构建在 ash_ai 上的任何 Elixir 代理应用都可以平凡利用。
攻击途径
AshAi.Actions.Prompt 通过 EEx.eval_string/2 评估提示内容。记录的 prompt: fn input, context -> ... end 模式让远程未认证客户端提交在任何模型请求发生前被评估为可执行 Elixir 代码的输入，实现任意代码执行。
受影响系统
ash-project ash_ai 版本 >= 0.1.0, < 1.0.0
缓解措施
升级 ash_ai 到 1.0.0 或更高版本，该版本移除了不安全的 EEx 评估路径。