Falla en SandboxShellTool de AG2/AutoGen permite burlar el filtro de comandos

AG2 (antes AutoGen), uno de los frameworks de código abierto más usados para sistemas multiagente, divulgó el 10 de noviembre de 2026 una vulnerabilidad de severidad alta, según AG2 SandboxShellTool Newline Injection Bypasses Command Filter de GitHub Security Advisories. La falla está en la herramienta SandboxShellTool, que bloquea operadores de shell como el punto y coma y las tuberías, pero no los caracteres de salto de línea, lo que permite a un atacante colar un segundo comando de shell más allá de la lista de permitidos y de la restricción de solo lectura, logrando ejecución de comandos arbitrarios en el host.

Qué cambió

• CVE-2026-113663 (GHSA-2h4w-29cv-2cmv): severidad alta, puntaje CVSS 3.1 de 8.8, publicado el 10 de noviembre de 2026.
• Versiones afectadas: ag2 desde 0.13.2 hasta (sin incluir) 1.1.1, corregido en 1.1.1; autogen desde 0.13.2 hasta 0.14.1, sin corrección publicada porque el paquete está obsoleto en favor de ag2.
• El filtro de comandos de SandboxShellTool bloquea operadores como el punto y coma, el doble ampersand y las tuberías, pero omite los caracteres de salto de línea y retorno de carro.
• Como los comandos se ejecutan mediante sh -c, un salto de línea incrustado actúa como separador de instrucciones igual que un punto y coma, permitiendo que un comando con apariencia bloqueada, seguido de un salto de línea y un comando malicioso, pase el filtro.
• El bypass vence tanto el modo de lista de permitidos como la restricción readonly=True, y con el backend LocalEnvironment por defecto, los comandos corren como un subproceso del host sin contención real, en lugar de dentro de un sandbox real.

Qué significa para quienes construyen con IA

El principal vector de ataque es la inyección de prompt indirecta: contenido malicioso colocado en un documento o en la salida de una herramienta que llega al LLM del agente puede traducirse en el comando de shell inyectado, activando el bypass sin ninguna acción directa del usuario. Como AG2/AutoGen es uno de los frameworks de código abierto más usados para orquestar agentes, un sandbox que en realidad no lo es, y que se puede activar mediante inyección de prompt, es directamente relevante para quienes construyen agentes de código u operaciones con acceso a herramientas de shell en este framework.

Corrección y disponibilidad

La corrección se rastrea en el commit 3cd86726bb731eb11d6270f0ef9e50e42b5abb39 del repositorio de AG2 y está incluida a partir de la versión ag2 1.1.1. El paquete autogen, que cubre las versiones 0.13.2 a 0.14.1, no recibió corrección, ya que está obsoleto en favor de ag2.

Fuentes

• AG2 SandboxShellTool Newline Injection Bypasses Command Filter (GitHub Security Advisories, 10 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.