AutoGPT

概述

AutoGPT Classic 0.5.1 通过迭代提出命令来推进开放任务。与“默认无约束执行”的描述不同，被复核配置会在执行一个命令后请求再次授权，将本地文件限制在 Agent 工作区，并默认关闭本地 Shell 执行。部署方可以主动放宽这些边界，因此实际配置仍然决定风险。

审查范围与版本基线

• 官方仓库：Significant-Gravitas/AutoGPT。
• 评审版本：autogpt-v0.5.1（Commit 26324f2）。
• 许可证边界：本档案覆盖固定标签中 autogpts/autogpt 所代表的 MIT 许可 AutoGPT Classic 范围，不覆盖采用独立许可的平台产品。
• 目标执行模式：带有可选连续模式、浏览器命令、插件、工作区文件操作以及可选代码或 Shell 执行的交互式 Classic Agent。
• 主要证据来源：固定版本的配置默认值、交互循环、命令执行与工作区命令。
• 未覆盖范围：运行时攻击复现、AutoGPT Platform、后续平台 Beta 版本、第三方插件以及具体企业部署。

已观察到的控制与源码证据

1. 默认人工授权： 连续模式关闭时，交互循环每次只分配一个命令的执行预算。Agent 提出下一项命令，并在进入后续命令周期前返回用户确认。
2. 显式连续模式风险： 连续模式必须主动开启；正数 continuous_limit 会限制自主命令数量，零值则映射为无限循环预算。CLI 会在连续模式启用时显示法律风险提示。
3. 工作区与 Shell 默认值： restrict_to_workspace 默认为 true，execute_local_commands 默认为 false。若开启宿主 Shell，默认拒绝列表只阻止 sudo 和 su，不能依靠该列表构成完整隔离。
4. Docker 可用时的 Python 代码执行： Docker 可用时，Python 代码会在挂载 Agent 工作区的容器内执行。这是代码执行机制，不会自动约束浏览器、插件、凭据或外部 API 动作。

待验证假设与部署依赖

1. 不可信网页与插件内容： 浏览器结果与插件输出可以影响后续命令选择。本轮没有运行确定性注入测试，因此既不宣称能够抵抗，也不把攻击写成已观察事实。
2. 凭据与出站边界： 模型、搜索、插件和服务凭据会按照部署配置提供；网络限制和凭据代理属于外部控制。
3. 外部恢复： 保存的 Agent 状态与本地日志有助于调查，但无法撤销邮件、API 调用、下载或其他已完成的外部动作。

部署证据与观察范围概要

AutoGPT Classic 0.5.1 默认采用交互式命令授权、工作区文件限制并关闭宿主 Shell。若在缺乏独立限额、隔离和审查时启用连续模式、浏览器、插件、凭据或可变外部集成，风险会显著上升。

说明：本档案只覆盖 AutoGPT Classic 的 autogpt-v0.5.1 标签，不评估独立演进的 AutoGPT Platform、不复现攻击，也不批准任何生产部署。