Die Schwachstelle betrifft das CodeInterpreter-Werkzeug von CrewAI, mit dem von KI-Agenten erzeugter Code ausgeführt wird. Normalerweise soll dieser Code in einem abgeschotteten Docker-Container laufen. Ist Docker jedoch nicht erreichbar, weicht das Werkzeug automatisch auf eine eingebaute Ersatzlösung namens SandboxPython aus. Diese Rückfallebene schirmt den ausgeführten Code deutlich schwächer ab: Über den Aufruf beliebiger C-Funktionen lässt sich die vermeintliche Sandbox umgehen. Dadurch kann Code, der eigentlich nur eingeschränkt laufen sollte, beliebige Befehle auf dem zugrunde liegenden System ausführen – also eine Remote-Code-Ausführung. Gefährlich ist dabei vor allem der stille Wechsel des Ausführungsmodus: Betreiber gehen weiterhin von einer Container-Isolierung aus, während tatsächlich die schwächere Variante greift. Betroffen sind Umgebungen, in denen CrewAI-Agenten nicht vertrauenswürdigen oder modellgenerierten Code verarbeiten.