【ADLab原创缝隙】微软Prompt flow远程代码执行缝隙
颁布功夫 2025-08-20在大模型驱动的AI海潮中，，AI基础设施已成为支持智能利用的主题底座，，涵盖模型训练框架、、推理服务框架、、散布式推算环境以及利用开发框架等关键组件。然而，，随着AI生态的急剧扩张，，其安全性问题日益凸显。一旦基础设施存在缝隙，，可能导致算力资源被滥用、、服务遭到劫持或利用被粉碎，，从而威胁整个AI生态的靠得住性与不变性。OG东方厅ADLab萦绕AI基础设施发展系统化安全钻研，，目前已发现 LangFlow、、Flowise、、vLLM、、Prompt flow 等多个高危缝隙。
Prompt flow是微软开发的大模型利用开发框架，，用于简化基于大模型的AI利用开发流程，，覆盖了从原型设计、、测试、、评估、、部署和监控的齐全性命周期。
Prompt flow的主题概念是Flow，，它将大模型、、提醒词、、Python代码和外部工具衔接起来，，构建成一个可执行的工作流�？？⒄吣芄煌ü鼺low：：
? 急剧构建并调试与大模型的交互逻辑；；；
? 在数据集上对工作流进行评估，，推算质量和机能指标；；；
? 将测试与评估集成进CI/CD流程，，确保利用的不变性和靠得住性；；；
? 部署到服务平台或直接嵌入利用代码中。
对于Flow工作流的执行，，Prompt flow提供了CLI步骤和Executor Server, 其中Executor Server以服务化方式对外提供运行Flow的接口，，基于 Web 框架实现API服务，，接管HTTP要求并挪用底层的flow executor执行工作流。由于Executor Server直接接管和处置用户输入，，这一执行接口也因而成为潜在的攻击面。Flow的矫捷性在方便开发的同时，，也引入了相应的安全风险，，因而输入校验、、执行隔离和权限节制成为安全分析的关键点。
三、、缝隙道理（MSRC Case 94015）
Prompt flow存在远程代码执行缝隙（MSRC Case 94015），，由于/tool/retrieve_tool_func_result 接口在加载和执行工具时没有进行任何校验或限度，，攻击者可利用这一缝隙在 Prompt flow Executor Server上实现远程代码执行，，从而影响系统的正常运行。
微软MSRC（Microsoft Security Response Center）对ADLab提交的缝隙汇报进行了评估，，确定该缝隙为严重级别。在最新颁布的版本中，，已弃用了存在缝隙的接口。建议有关用户尽快升级到最新版本。
此类缝隙揭示了大模型利用开发框架在处置工具挪用时可能面对的风险。为降低风险，，开发者能够在设计中关注以下方面：：
? 输入校验：：在接口层面对外部要求进行必要的校验与过滤，，预防未经验证的输入直接驱动系统逻辑。
? 白名单机制：：限定可挪用的�？？橛牒煊�，，仅允许经过审核的操作被执行。
? 沙箱隔离：：为用户可控的代码或工具提供受限的执行环境，，将风险节制在安全天堑内。
? 权限最小化：：遵循最小权限准则执行工具，，降低潜在影响。
? 2025年1月2日提交汇报至MSRC
? 2025年6月11日MSRC确认缝隙
? 2025年6月11日Prompt flow更新中弃用缝隙接口
? 2025年6月14日MSRC给出缝隙评级Critical
? 2025年6月30日获取MSRC称谢
OG东方厅积极防御尝试室（ADLab）
ADLab成立于1999年，，是中国安全行业最早成立的攻防技术钻研尝试室之一，，微软MAPP打算主题成员，，“黑雀攻击”概念首推者。截至目前，，ADLab已通过 CNVD/CNNVD/NVDB/CVE累计颁布安全缝隙6500余个，，持续维持国际网络安全领域一流水准。尝试室钻研方向涵盖基础安全钻研、、数据安全钻研、、5G安全钻研、、AI+安全钻研、、卫星安全钻研、、运营商基础设施安全钻研、、移动安全钻研、、物联网安全钻研、、车联网安全钻研、、工控安全钻研、、信创安全钻研、、云安全钻研、、无线安全钻研、、高级威胁钻研、、攻防匹敌技术钻研。钻研成就利用于产品主题技术钻研、、国度重点科技项目攻关、、专业安全服务等。
京公网安备11010802024551号