原文

Sinaptik AI が提供する PandasAI のプロンプト機能には、任意のコードが実行可能な脆弱性が存在します。 PandasAI は、ユーザーが自然言語クエリを使用してデータ分析を行うための Python ライブラリです。本ライブラリは自然言語の形で入力されたクエリから OpenAI の GPT などの大規模言語モデル (LLM) を使用して Python または SQL コードを生成し、データ処理を行うことができます。 本ライブラリに対し、プロンプトインジェクション攻撃によって任意の Python コードを実行できる脆弱性 (CVE-2024-12366) が報告されています。 PandasAI では、プロンプト入力から生成され実行されるコードは暗黙的に信頼されるため、細工したプロンプト入力により悪意のある Python または SQL コードが実行される可能性があります。