阿里先知·· 5 天前精选推荐指数72
AstrBot 子代理 Handoff 越权 0day：从提示注入到 RCE 武器化实战
从 Prompt 越狱到底层权限失守：AstrBot 子代理（Handoff）越权 0day 挖掘与 RCE 武器化实战
AI 导读
安全研究员针对开源 AI 机器人框架 AstrBot v4.25.5 挖掘出一个子代理交接（Handoff）越权 0day 并完成 RCE 武器化。
推荐理由
文章完整展示了从源码审计到社工绕过再到自动化Exp的攻击链，读者可迁移其在交接路径上找权限丢失的审计思路。
来源：阿里先知 · xz.aliyun.com