前言 随着大语言模型（LLM）的爆发，AI Agent（智能体）已经从简单的“对话机器人”演进为能够调用外部工具、执行复杂任务的系统级应用。在多代理（Multi-Agent）架构中，“子代理编排（Subagent Orchestration）”或“交接（Handoff）”机制被广泛采用，以解决单次对话上下文过长、单点任务过于复杂的问题。 然而，当安全研究员将视线从 LLM 的“幻觉”与“提示注入（Prompt Injection）”转移到框架底层的业务逻辑时，往往能发现更致命的系统级漏洞。 本文基于开源 AI 机器人框架 AstrBot (v4.25.5)，深度剖析一个由于子代理交接机制未进行安全边界隔离，导致的底层权限绕过，并最终实现远程命令执行（RCE）的 0day 级漏洞。文章将从源码审计、靶场搭建、LLM 社工绕过，直至自动化 Exp 的武器化编写，完整复现这条 AI 框架攻击链。