Falha no SandboxShellTool do AG2/AutoGen permite burlar filtro de comandos

A AG2 (antes AutoGen), um dos frameworks de código aberto mais usados para sistemas multiagente, divulgou em 10 de novembro de 2026 uma vulnerabilidade de severidade alta, segundo o AG2 SandboxShellTool Newline Injection Bypasses Command Filter do GitHub Security Advisories. A falha está na ferramenta SandboxShellTool, que bloqueia operadores de shell como ponto e vírgula e pipes, mas não caracteres de nova linha, permitindo que um atacante passe um segundo comando de shell além da lista de permissões e da restrição de somente leitura, chegando à execução arbitrária de comandos no host.

O que mudou

• CVE-2026-113663 (GHSA-2h4w-29cv-2cmv): severidade alta, nota CVSS 3.1 de 8,8, publicada em 10 de novembro de 2026.
• Versões afetadas: ag2 de 0.13.2 até (sem incluir) 1.1.1, corrigido na 1.1.1; autogen de 0.13.2 até 0.14.1, sem correção lançada, já que o pacote está descontinuado em favor do ag2.
• O filtro de comandos do SandboxShellTool bloqueia operadores como ponto e vírgula, duplo ampersand e pipes, mas não os caracteres de nova linha e retorno de carro.
• Como os comandos são executados via sh -c, uma nova linha incorporada age como separador de instruções, assim como um ponto e vírgula, deixando passar pelo filtro um comando com aparência bloqueada, seguido de uma nova linha e um comando malicioso.
• O bypass derrota tanto o modo de lista de permissões quanto a restrição readonly=True, e com o backend padrão LocalEnvironment, os comandos rodam como um subprocesso do host sem contenção real, em vez de dentro de um sandbox de verdade.

O que isso significa para quem constrói com IA

O principal vetor de ataque é a injeção indireta de prompt: conteúdo malicioso colocado em um documento ou na saída de uma ferramenta, que chega ao LLM do agente, pode ser traduzido no comando de shell injetado, acionando o desvio sem nenhuma ação direta do usuário. Como a AG2/AutoGen é um dos frameworks de código aberto mais usados para orquestrar agentes, um sandbox que na verdade não é um sandbox, acionável por injeção de prompt, é diretamente relevante para quem constrói agentes de código ou de operações com acesso a ferramentas de shell nesse framework.

Correção e disponibilidade

A correção está registrada no commit 3cd86726bb731eb11d6270f0ef9e50e42b5abb39 no repositório da AG2 e está incluída a partir da versão ag2 1.1.1. O pacote autogen, que cobre as versões 0.13.2 a 0.14.1, não recebeu correção, já que está descontinuado em favor do ag2.

Fontes

• AG2 SandboxShellTool Newline Injection Bypasses Command Filter (GitHub Security Advisories, 10 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.