Betroffen ist die Agenten-Komponente ms-agent des ModelScope-Projekts. Der Fehler liegt darin, dass Eingaben, die aus einem Prompt abgeleitet werden, ungeprüft an die Befehlsverarbeitung des zugrunde liegenden Systems weitergereicht werden. Ein Angreifer kann solche Eingaben gezielt präparieren und auf diesem Weg eigene Betriebssystembefehle einschleusen, die auf dem Rechner ausgeführt werden, auf dem der Agent läuft. Man spricht dabei von einer Befehlsinjektion: Daten, die eigentlich nur als Text verarbeitet werden sollten, werden stattdessen als Anweisung interpretiert. Praktisch bedeutet das, dass bereits manipulierter Inhalt in einem Prompt ausreicht, um beliebige Aktionen auf dem Hostsystem auszulösen – vom Auslesen von Dateien bis hin zur weitergehenden Übernahme der Umgebung. Gefährdet sind Umgebungen, in denen der Agent Prompts aus unzuverlässigen oder externen Quellen verarbeitet.