파이썬 라이브러리인 PandasAI는 LLM(대규모 언어 모델)을 사용하여 데이터 상호 작용을 제공하지만, 프롬프트 주입 공격(CVE-2024-12366)에 취약한 것으로 밝혀졌습니다. 공격자는 자연어 프롬프트를 통해 악의적인 코드를 주입하여 보안 조치를 우회할 수 있습니다. 이 취약점은 PandasAI 프로세스 내에서 임의의 코드 실행을 허용했습니다. 이 문제는 AI 에이전트에서 코드와 데이터를 분리하는 데 내재된 어려움에서 기인합니다. 신뢰할 수 없는 코드 실행은 시스템 손상 및 연결된 서비스에 대한 추가 공격으로 이어질 수 있습니다. 개발사인 SinaptikAI는 새로운 보안 구성 매개변수를 도입하여 이 문제를 해결했습니다. 사용자는 이제 표준, 고급 및 없음 보안 수준 중에서 선택할 수 있습니다. 또한 보안을 강화하기 위해 샌드박스 환경도 제공됩니다. 이 취약점은 NVIDIA AI 레드 팀에 의해 발견되어 보고되었습니다. 업데이트된 PandasAI는 사용자가 환경에 따라 적절한 보안 설정을 선택할 수 있도록 하여 위험을 완화합니다.