[Security] Arbitrary Host Command Execution via ! shell escape in MCP tools #45 漏洞概述 r2mcp 服务器通过 和 工具暴露了 radare2 的主机 shell 转义功能( )。这引入了严重的间接提示注入风险,恶意二进制文件可以指示 AI 代理在分析机上执行任意主机命令,导致远程代码执行(RCE)。 影响范围 受影响工具: :通过 JS 实现完全 shell 访问。 :直接执行 shell 命令。 环境:r2mcp 1.6.0, radare2 6.0.5, Linux (Kali) 威胁模型:当 LLM 代理(如 Claude, Cursor, VS Code Copilot 等)分析恶意二进制文件时,二进制文件中的字符串、元数据或嵌入注释可能包含提示注入载荷,欺骗 AI 在主机系统上执行任意命令。 修复方案 在沙箱模式下运行( 参数)。 使用 限制命令执行。 使用 时限制为 , , 等特定命令。 默认启用沙箱( 参数)。 POC 代码