CVE-2026-108600：open-multi-agent 的 file_write 工具被悬空符号链接绕过沙箱
NVD 于十月十四日收录 CVE-2026-108600：open-multi-agent（@open-multi-agent/core）1.5.0 到 1.21.2 版本的 file_write 工具沙箱存在链接跟随漏洞。攻击者可以在工作区里放一个悬空符号链接，再通过提示词注入引导 agent 把内容写到这个符号链接指向的任意路径——只要 agent 进程有写权限的地方都能落盘。 悬空符号链接为什么能绕过沙箱？ 绝大多数 agent 沙箱的保护逻辑是「校验目标路径是否在工作区根目录之下」。file_write 收到一个路径，先做字符串前缀检查，看着是在 workspace 里就放行。但如果这个路径本身是个 symlink，操作系统在 open() 时会顺着链接走到真实目标。校验发生在符号链接解析之前，攻击者就绕过了前缀检查。这是经典的 TOCTOU（检查时间与使用时间不一致）竞态在 agent 沙箱上的翻版。 攻击链的完整路径是什么？ 第一步，攻击者通过任何能让 agent 在工作区写文件的途径（比如一个恶意网页、一份被污染的文档）放一个 symlink，指向 /root/.ssh/authorized_keys 或 Windows 启动目录。第二步，用提示词注入让 agent 把攻击者控制的内容「写」到这个 symlink 路径。第三步，agent 进程的权限就是落盘权限——如果 agent 以 root 跑，攻击者就拿到了一个持久化后门。NVD 描述里明确写了「prompt injection to write attacker-influenced content anywhere the agent process can write」。 修复方案是什么？ 升级到 1.21.2 之后的版本。正确的沙箱实现要在 open 时用 O_NOFOLLOW 或 fstat 比对真实路径与工作区根，不能只做字符串前缀检查。对所有自研 agent 框架的团队，这是一个审计清单：你的 file_write、file_edit、shell 工具，有没有 follow symlink？ ...