Die Schwachstelle betrifft marimo, eine Umgebung für interaktive Python-Notebooks. Beim Einlesen von Notebooks werden Konfigurationsangaben aus den eingebetteten Skript-Metadaten übernommen, ohne ausreichend geprüft zu werden. Dadurch kann der Autor eines Notebooks eine eigene Server-Adresse für KI-Anfragen hinterlegen, die sogar Vorrang vor den Einstellungen der Person hat, die das Notebook öffnet. Stellt diese Person anschließend eine KI-Anfrage, richtet marimo die Anfrage an den vom Angreifer vorgegebenen Endpunkt, verwendet dabei aber den in der Umgebung hinterlegten API-Schlüssel des Opfers zur Authentifizierung. Der Schlüssel wird damit an einen fremden Server übertragen und dem Angreifer offengelegt. Dafür muss keine einzige Notebook-Zelle ausgeführt werden – das bloße Öffnen eines manipulierten Notebooks und eine anschließende KI-Anfrage genügen. Betroffen sind alle, die fremde marimo-Notebooks öffnen und API-Zugangsdaten hinterlegt haben.