Das Open-Source-Framework CrewAI ist durch vier kritische Schwachstellen gefährdet, die von Sicherheitsforscher Yarden Porat von Cyata identifiziert wurden. Diese Lücken ermöglichen es Angreifern, mehrere Angriffsvektoren zu verknüpfen und letztlich beliebigen Code auf der Host-Maschine auszuführen. Das Framework wird von Entwicklern weltweit für die Erstellung von Multi-Agent-KI-Systemen verwendet, die komplexe Workflows automatisieren.
Die erste Schwachstelle, CVE-2026-2275, betrifft das Code Interpreter Tool von CrewAI. Wenn Docker nicht verfügbar ist, fällt das System auf SandboxPython zurück – eine unsichere Fallback-Lösung. Sind Code-Ausführungsflags in der Agent-Konfiguration aktiviert, können Angreifer über beliebige C-Funktionsaufrufe Codes ausführen. Dies dient häufig als Einstiegspunkt für Prompt-Injection-Angriffe.
Die zweite Lücke (CVE-2026-2286) ist ein Server-Side Request Forgery (SSRF)-Bug in RAG-Suchtools. Die Tools validieren zur Laufzeit bereitgestellte URLs nicht korrekt, was Angreifern Zugriff auf interne und Cloud-Services gewährt. Die dritte Schwachstelle (CVE-2026-2287) liegt vor, wenn CrewAI zur Laufzeit nicht überprüft, ob Docker noch läuft, und in unsichere Sandbox-Modi mit aktivierter Code-Ausführung zurückfällt. Die vierte Lücke (CVE-2026-2285) betrifft das JSON-Loader-Tool: Es validiert Dateipfade nicht, sodass Angreifer beliebige Dateien vom Server lesen können.
Das perfide an diesen Lücken ist ihre Verkettbarkeit. Angreifer können durch direkte oder indirekte Prompt-Injections alle vier Bugs nacheinander ausnutzen – mit dem Ziel, aus dem Container zu entkommen und auf dem Host-System Fuß zu fassen. Die Konsequenzen reichen von Dateienverlust über Credential-Diebstahl bis hin zur vollständigen Systemkompromittierung.
Die CrewAI-Maintainer arbeiten bereits an Lösungen: Sie planen die Blockade kritischer Module, sicherere Standard-Konfigurationen (Fail-Closed statt Fallback), bessere Runtime-Warnungen und überarbeitete Sicherheitsdokumentation. Allerdings existieren noch keine vollständigen Patches.
Bis dahin empfehlen Sicherheitsexperten mehrere Mitigationsmaßnahmen: Das Code Interpreter Tool sollte entfernt oder stark eingeschränkt werden, Code-Ausführungsflags nur wenn nötig aktiviert sein, und Agent-Exposition gegenüber nicht vertrauenswürdigen Eingaben minimiert werden. Input-Sanitization und das Verhindern unsicherer Fallbacks sind essentiell. Organisationen sollten dringend ihre CrewAI-Deployments überprüfen.