Betroffen ist die AI-Gateway-Komponente von GitLab. Prompt-Vorlagen werden dort eigentlich in einer abgeschotteten Umgebung (Sandbox) verarbeitet, die verhindern soll, dass Eingaben über die reine Textverarbeitung hinaus Wirkung entfalten. Unter bestimmten Bedingungen lässt sich diese Abschottung jedoch umgehen: Ein angemeldeter Nutzer mit Zugriff auf die Duo Agent Platform kann eine speziell präparierte Flow-Konfiguration hinterlegen und damit aus der Vorlagen-Sandbox ausbrechen. In der Folge kann er beliebige Befehle auf dem AI Gateway ausführen. Da das Gateway als zentrale Vermittlungsstelle für die KI-Funktionen dient und dabei Zugangsdaten sowie Anfragen vieler Nutzer verarbeitet, kann ein erfolgreicher Angriff weit über das eigene Benutzerkonto hinausreichen. Voraussetzung ist ein gültiger Zugang mit entsprechender Berechtigung, ein unangemeldeter Zugriff aus dem Internet genügt also nicht.