事件经过
AG2的SandboxShellTool验证依赖于_filter和contains_shell_operator来拒绝选定的shell语法，但过滤器遗漏了换行/回车分隔符，而未过滤的字符串随后通过sh -c执行。这使得攻击者影响的代理命令能够追加并运行任意语句。使用默认的LocalEnvironment后端时，注入的命令作为主机子进程运行，影响机密性、完整性和可用性。
影响分析
这是一种代理沙箱逃逸类别：该工具的隔离保证被一个换行符击败，将提示注入或受攻击者影响的工具参数转化为运行代理的机器上的主机命令执行——这正是防御者依赖的用来遏制不可信代理行为的边界。
攻击途径
ag2/tools/sandbox/filter.py和adapter/shell.py中的命令前缀过滤器遗漏了换行和回车分隔符，而接受的原始字符串被传递给sh -c。能够影响工具调用参数（例如通过间接提示注入或频道消息）的攻击者会注入一个额外的shell语句，该语句以代理进程的权限作为主机子进程执行。
受影响系统
ag2 >= 0.13.2, < 1.1.1; autogen >= 0.13.2, <= 0.14.1
缓解措施
升级到ag2 1.1.1。公告：https://github.com/ag2ai/ag2/security/advisories/GHSA-2h4w-29cv-2cmv