【ADLab原创缝隙】微软Prompt flow远程代码执行缝隙
颁布功夫 2025-08-20在大模型驱动的AI海潮中，AI基础设施已成为支持智能利用的主题底座，涵盖模型训练框架、推理服务框架、散布式推算环境以及利用开发框架等关键组件。然而，随着AI生态的急剧扩张，其安全性问题日益凸显。一旦基础设施存在缝隙，可能导致算力资源被滥用、服务遭到劫持或利用被粉碎，从而威胁整个AI生态的靠得住性与不变性。GA黄金甲ADLab萦绕AI基础设施发展系统化安全钻研，目前已发现 LangFlow、Flowise、vLLM、Prompt flow 等多个高危缝隙。
Prompt flow是微软开发的大模型利用开发框架，用于简化基于大模型的AI利用开发流程，覆盖了从原型设计、测试、评估、部署和监控的齐全性命周期。
Prompt flow的主题概想是Flow，它将大模型、提醒词、Python代码和表部工具衔接起来，构建成一个可执行的工作流�？⒄吣芄煌ü鼺low：
? 急剧构建并调试与大模型的交互逻辑；
? 在数据集上对工作流进行评估，推算质量和机能指标；
? 将测试与评估集成进CI/CD流程，确保利用的不变性和靠得住性；
? 部署到服务平台或直接嵌入利用代码中。
对于Flow工作流的执行，Prompt flow提供了CLI步骤和Executor Server, 其中Executor Server以服务化方式对表提供运行Flow的接口，基于 Web 框架实现API服务，接管HTTP要求并挪用底层的flow executor执行工作流。由于Executor Server直接接管和处置用户输入，这一执行接口也因而成为潜在的攻击面。Flow的矫捷性在方便开发的同时，也引入了相应的安全风险，因而输入校验、执行隔离和权限节造成为安全分析的关键点。
三、缝隙道理（MSRC Case 94015）
Prompt flow存在远程代码执行缝隙（MSRC Case 94015），由于/tool/retrieve_tool_func_result 接口在加载和执行工具时没有进行任何校验或限度，攻击者可利用这一缝隙在 Prompt flow Executor Server上实现远程代码执行，从而影响系统的正常运行。
微软MSRC（Microsoft Security Response Center）对ADLab提交的缝隙汇报进行了评估，确定该缝隙为严沉级别。在最新颁布的版本中，已弃用了存在缝隙的接口。建议有关用户尽快升级到最新版本。
此类缝隙揭示了大模型利用开发框架在处置工具挪用时可能面对的风险。为降低风险，开发者能够在设计中关注以下方面：
? 输入校验：在接口层面对表部要求进行必要的校验与过滤，预防未经验证的输入直接驱动系统逻辑。
? 白名单机造：限造可挪用的�？橛牒煊�，仅允许经过审核的操作被执行。
? 沙箱隔离：为用户可控的代码或工具提供受限的执行环境，将风险节造在安全天堑内。
? 权限最幼化：遵循最幼权限准则执行工具，降低潜在影响。
? 2025年1月2日提交汇报至MSRC
? 2025年6月11日MSRC确认缝隙
? 2025年6月11日Prompt flow更新中弃用缝隙接口
? 2025年6月14日MSRC给露马脚评级Critical
? 2025年6月30日获取MSRC称谢
GA黄金甲积极防御尝试室（ADLab）
ADLab成立于1999年，是中国安全行业最早成立的攻防技术钻研尝试室之一，微软MAPP打算主题成员，“黑雀攻击”概想首推者。截至目前，ADLab已通过 CNVD/CNNVD/NVDB/CVE累计颁布安全缝隙6500余个，持续维持国际网络安全领域一流水准。尝试室钻研方向涵盖基础安全钻延注数据安全钻延注5G安全钻延注AI+安全钻延注卫星安全钻延注运营商基础设施安全钻延注移动安全钻延注物联网安全钻延注车联网安全钻延注工控安全钻延注信创安全钻延注云安全钻延注无线安全钻延注高级威胁钻延注攻防匹敌技术钻研。钻研成就利用于产品主题技术钻延注国度沉点科技项目攻关、专业安全服务等。
京公网安备11010802024551号