事件经过
可执行能力的Docker沙箱与受信任应用服务之间隔离不足，导致跨租户访问：沙箱持有者可枚举和驱动其他租户的沙箱并访问未认证的供给器，且沙箱可到达共享内部服务。结果是跨租户数据泄露/修改、沙箱状态操纵和通过沙箱删除实现拒绝服务——无需容器逃逸或内核漏洞，并且在默认数据库凭据未更改且暴露的PostgreSQL角色为超级用户时可升级为远程代码执行。
影响分析
这是AI智能体开发平台中的多租户隔离失败，租户在本应相互隔离的沙箱中执行代码。低权限账户攻击者可获取其他租户的智能体状态、文件和密钥，并可转向共享数据库服务——这正是AI/SaaS多租户部署所依赖的精确隔离边界。
攻击途径
可在自己的可执行Docker沙箱中执行命令的低权限认证用户可到达其他租户的沙箱API、读取其文件和密钥、在活动沙箱中执行命令，并通过未认证的供给器枚举/创建/删除沙箱——无需知道管理员/数据库/MinIO凭据。沙箱还可到达共享内部服务；如果默认PostgreSQL/Neo4j/MinIO凭据未更改，攻击者可利用它们，且如果PostgreSQL账户是超级用户，则可在PostgreSQL容器中获得命令执行。
受影响系统
宇曦 >= 0.6.0.beta1, < 0.7.1
缓解措施
升级到宇曦0.7.1。另外轮换之前设置为文档/出厂默认值的持久化PostgreSQL、Neo4j和MinIO凭据，因为升级Compose文件不会自动轮换它们。