title: "Agent 安全专题 09：When prompts become shells——Semantic Kernel 两个 CVE 把提示词注入升级成主机 RCE：eval() 黑名单绕过 + 沙箱逃逸完整拆解（CVE-2026-25592 / CVE-2026-26030）" column: "人工智能Agent从部署到生产" tags: ["Agent安全", "Semantic Kernel", "CVE-2026-26030", "CVE-2026-25592", "提示词注入", "RCE", "eval", "沙箱逃逸"]TL;DR2026-05-07 Microsoft 安全团队公开了 AI Agent 框架安全研究系列的第一篇：在自家Semantic Kernel（GitHub 27k+ stars）里发现两个可被提示词注入直接触发的主机级 RCE——CVE-2026-26030（In-Memory Vector Store 的eval()注入 + AST 黑名单绕过）和CVE-2026-25592（SessionsPythonPlugin误暴露DownloadFileAsync导致容器沙箱逃逸）。两条漏洞的共性：AI 模型不是安全边界，框架对模型输出的信任才是漏洞面。修复无需改架构，升级依赖即可（Python SDK ≥ 1.39.4、.NET SDK ≥ 1.71.0）。本文拆解两个漏洞的攻击链、黑名单绕过的四个技术点、以及「模型层 + 主机层」双