MoviePilot AI助手变内鬼：一条网页指令即

MoviePilot 爆了个高危漏洞，CVE-2026-77931。只要用了 AI 助手功能，就可能被远程拿服务器权限。

攻击者不用账号密码，也不用你的服务暴露在公网。他只要把恶意指令藏在网页、搜索结果或种子描述里。管理员让助手去读这些内容，助手就会替攻击者在宿主机上执行任意命令。

这漏洞的根子在于权限和信任没分开。助手能随便读外部网页，同一个上下文里又带着高权限的命令执行工具。更离谱的是，防危险命令的安全开关，居然是模型自己填参数确认的。黑名单也只防手滑，根本挡不住反向 Shell。

目前官方还没发补丁，所有已发布版本都受影响。现在最管用的办法，就是赶紧去后台移除 API Key，暂时停用 AI 助手。如果之前启用过，还得查查日志里有没有异常的命令调用记录。