在流行的 AI 编码代理 Serena 中发现了一个严重漏洞，允许任意代码执行。该缺陷由 GitLab 威胁研究组识别，存在于 1.6.1 及更早版本中。攻击者可通过在仓库中放置恶意的 .serena/project.yml 文件利用此漏洞。当开发人员打开此类项目时，恶意代码将被执行。该漏洞源于 Serena 使用未沙箱化的 Jinja2 模板引擎来处理项目配置。该模板引擎可访问 Python 对象图，从而通过已公开的技术实现代码执行。该利用方式绕过了 Serena 为防止不可信仓库运行代码而设计的信任机制。MCP 服务器被 AI 编码工具使用，因其对开发者的本地环境拥有广泛访问权限，从而构成了新的攻击面。与隔离的 CI/CD 环境不同，被攻陷的 MCP 服务器可能泄露敏感数据和内部网络资源。该漏洞于 2026 年 8 月 1 日私下报告，修复补丁于八天后的 1.7.0 版本中发布。强烈建议 Serena 用户立即更新。构建类似 AI 编码工具的开发人员应将项目配置文件视为不可信输入，并确保其信任网关覆盖所有代码路径。安全团队应识别并审查其组织内运行的 MCP 服务器。