langfun Lf.query exec()执行模型输出漏洞POC（CWE-94/95）

漏洞总结：langfun 默认 Lf.query 通过 exec() 执行模型输出（CWE-94/95） 漏洞概述 漏洞编号：#725（CWE-94/95） 核心问题： 在默认协议（ ）下，使用 配合 执行模型返回的 Python 表达式。 根因：默认配置下 ，且 AST 权限过滤器只限制节点类型、不限制节点内容，导致攻击者可通过提示词注入将任意 Python 表达式作为副作用执行。 执行是静默的：无日志、无异常，对开发者不可见。 影响范围 受影响版本： - PyPI 0.1.1（最新发行版；完整历史 0.0.1 / 0.1 / 0.1.1）——已确认 - @ e08939c —— 已确认 - 该路径的加固仅存在于 （唯一结构化解析器提交 0.1.1 早于 ，该提交将文件移动到了 ） 无参 调用的默认值： - ， ， （值 9） - —— 协议默认解析为 - —— - —— 权限默认 调用链（公共 API → exec()）： 和 在相同默认值下具有相同风险。 最小复现（POC 代码） > 复现说明：通过 mock LLM 直接提供"模型输出"——无网络、无 API key。整个模型响应是单个表达式，看起来像普通 schema 字面量。 > 复现注意：通过文件系统验证（而非 print）。 包裹 ，在 （pyglove.execution.py:184）中，print 作为打印检查在代码执行时不会显示任何内容。 为什么 AST 过滤器无法阻止 过滤器允许 及所有表达式节点，但不限制哪些可调用对象被调用。 CPython 自动添加 到 的全局作用域， 等可按名称可达（已确认）。 移除 不是完整修复—— 自动属性，且 schema 代码类加上 仍可通过任意 节点可达。 该过滤器限制节点类型，不限制节点内容；作为代码执行边界并不可靠。 威胁模型 基于 langfun（RAG、agent、scoped pool）的应用，将提示词内容暴露给攻击者——如 ingested 文档、用户消息、scoped pool、工具结果。 提示词注入使攻击者能控制表达式，在应用进程内执行任意代码，继承应用权限（密钥、文件系统、出站网络）。 无 host 访问、无 schema 知识、无非默认配置即可触发。 修复方案（按优先级） 1. 用仅字面量/schema 感知评估器替换基于 exec 的解析： 风格的评估器，仅允许 schema 声明类型（如 、 、 、 ）。合法的结构化输出响应始终为 字面量或测试 schema 值；它们不应能创建 或 。这彻底消除风险。 2. 继承加固：默认 在 中，并完全依赖 sandbox 上下文创建。 3. 文档化行为：在 / / 的文档和 README "Security model" 章节中说明 Python 协议执行模型输出，并建议非默认配置。 > 备注：JSON 协议中非默认 路径不是安全的替代方案——它路由到 （ ）在 pyglove 中，导入攻击者命名空间模块，且 运行 。这是一个安全关注点，属于上游 。建议不要"将默认值切换到 JSON"作为修复。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

langfun Lf.query exec()执行模型输出漏洞POC（CWE-94/95）

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

langfun Lf.query exec()执行模型输出漏洞POC（CWE-94/95）

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！