作者在此。我对 NocoBase、Flowise、Langflow、Dify、Activepieces、Kestra 和 Airflow 进行了审计，并披露了 14 个发现。所有这些平台都基于同一假设：任何能够操作工作流的人都被信任可以在主机上运行代码。对于本地开发工具而言这或许可以接受，但对于支持多租户且未对 Webhook 进行身份验证的 HTTP 服务来说则完全不可接受。我建议读者首先参考 Flowise 的案例（第 2.2 节）：未认证请求 → 提示注入 → LLM 输出 Python 代码 → 包含 38 种模式的正则表达式黑名单未能拦截该代码，因为危险库在模型被要求生成内容之前已被预导入 → 远程代码执行（RCE）。 两家供应商将其报告标记为“按预期工作”，我已尝试公平地呈现其立场。 本研究亦曾在 DEFCON 34 上展示，现已公开可用。 欢迎提问。 完整白皮书地址：https://www.endorlabs.com/learn/how-ai-orchestration-platforms-ship-rce-by-design 提交者：/u/p80n-sec