🇰🇷 한글 설명
PraisonAI 4.5.110부터 4.6.61 이전까지의 버전에서 SandlockSandbox는 Landlock을 사용할 수 없는 시스템에서 커널 수준 격리 실패 시 예외를 발생시키지 않고 SubprocessSandbox로 조용히 폴백합니다. 이로 인해 네이티브 정책으로 설정된 파일시스템 제한과 network=False 설정이 실제로 적용되지 않아 샌드박스 내 코드가 허용되지 않은 파일을 읽고 네트워크 연결을 열 수 있습니다.
💡 쉬운 설명
AI 에이전트가 실행하는 코드를 격리하는 샌드박스가 특정 환경에서 보안 기능이 꺼진 상태로 실행됩니다. 그 결과 격리되어야 할 코드가 허용되지 않은 파일을 읽거나 외부 인터넷에 접속할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. From version 4.5.110 to before version 4.6.61, praisonai.sandbox.SandlockSandbox is documented and implemented as the kernel-enforced sandbox backend for untrusted code. Its SandboxConfig.native() path lets callers configure allowed filesystem paths and network=False. On systems where the optional sandlock module imports but reports that Landlock is unavailable, SandlockSandbox.execute() and run_command() do not fail closed. They silently fall back to SubprocessSandbox(self.config). That fallback keeps the same high-level native policy object but does not enforce the native filesystem or network boundary during code execution. A sandboxed payload can read files outside the configured allowed path and open network connections despite network=False. This issue has been patched in version 4.6.61.
📍 영향받는 시스템
PraisonAI 4.5.110 이상 4.6.61 미만 버전 중 sandlock 모듈을 사용하고 Landlock이 비활성화된 시스템
⚔️ 공격 벡터
신뢰할 수 없는 코드나 악성 페이로드를 샌드박스에서 실행시켜 Landlock 미지원 환경에서 파일 시스템 경계와 네트워크 차단을 우회해 데이터를 유출하거나 외부와 통신
🛡️ 대응 방법
PraisonAI를 4.6.61 이상으로 업그레이드하고, 보안 샌드박스가 필요한 환경에서는 Landlock 지원 여부를 확인하며 폴백 발생 시 실행을 중단하도록 설정
🔧 검증 코드
출력된 버전이 4.6.61 미만이면 취약하므로 업그레이드가 필요하고, 4.6.61 이상이면 패치가 적용된 상태입니다.
pip show praisonai 2>/dev/null | grep -i '^version'