プロンプトテンプレート内の Tool 定義から任意の Python 関数が呼ばれ、任意のコードが実行される

何が起きたか

LLM 向けプロンプトテンプレートライブラリ banks は、completion ブロックの本文に書かれた Tool の JSON を読み込み、その import_path を制限なく importlib.import_module と getattr で解決して呼び出していました。そのため os.system などを指定した Tool をテンプレートに紛れ込ませ、LLM がそのツールを呼ぶと、banks を動かしているプロセスの権限で任意のコマンドが実行されます。Redis やファイルのプロンプトレジストリなど、攻撃者が書き込めるところからプロンプトを読み込む構成が影響を受けます。以前の CVE-2026-44209 の修正（2.4.2）ではこの経路は塞がれていません。