PraisonAI AgentTeam.launch() 缺少認證:能連到伺服器的人都能列出並呼叫你的 AI 代理

影響範圍

受影響版本的來源不一致: CVE 紀錄(CNA:GitHub)寫 praisonaiagents 1.6.59 以前、PraisonAI 4.6.59 以前;維護者自己的 GitHub 安全公告(該頁含攻擊程式,本站不連結)則寫 praisonaiagents 受影響版本為 4.6.57 以下、修補版為 1.6.59 以上。praisonaiagents 的版號是 1.x,PlainCVE 判斷維護者公告的上界看起來是把 PraisonAI 的版號誤填到 praisonaiagents 上;GitLab 公告資料庫寫 1.6.59 以前。兩份公告都把 praisonaiagents 1.6.59 以上列為修補版。

回報者實測的是 v4.6.57 發布版與當時的主線提交 2f9677ab。依 PYSEC/OSV 的說明,伺服器需要能從網路連到才會被利用;官方公告指出 Agents.launch() 預設綁定 0.0.0.0(所有網路介面),官方文件的遠端存取範例也這樣寫。PlainCVE 認為這讓不經意對外開放的情況更可能發生。

原理

PraisonAI 可以把一組 AI 代理(由語言模型驅動、能呼叫工具完成任務的程式)包成 HTTP 服務。AgentTeam.launch() 和它的別名 Agents.launch() 會註冊三類端點(伺服器上可被呼叫的網址路徑):一個列出代理,兩個用來呼叫代理。問題是這些路由在列出代理或執行 agent.chat() 之前,完全沒有檢查呼叫者是誰。官方公告指出,沒帶 Authorization 標頭(放登入憑證的欄位)的請求會被接受,帶一個明顯錯誤的 token(存取憑證)也一樣會被接受。

這對應 CWE-306(關鍵功能缺少認證)與 CWE-862(缺少授權)。官方公告也說明,這是 PraisonAI 先前幾則「API 伺服器未認證」公告的同類問題,屬於之前修補沒有涵蓋到的變體。

依據 CVE 紀錄,能連到伺服器的人可能做到:列出代理、消耗模型資源(例如付費的模型用量)、存取代理串接的私有資料,以及觸發代理工具或工作流程的副作用。實際能做到哪些,取決於部署了哪些代理。

有問題的思路(概念示意,不是原始程式碼):

@app.post("/{path}/{agent_id}")
def call_agent(agent_id, body):
    # 沒有任何身分檢查,直接執行代理
    return agents[agent_id].chat(body.message)

修好的思路:

@app.post("/{path}/{agent_id}")
def call_agent(agent_id, body, request):
    if not is_authorised(request):   # 沒有有效的金鑰就拒絕
        raise Unauthorized()
    return agents[agent_id].chat(body.message)

修補提交 b4270173 的標題寫的是加入 API 金鑰認證中介層。提交的差異內容顯示,praisonaiagents/agents/agents.py 新增了 _authorise_launch_request 檢查,token 來自環境變數 PRAISONAI_LAUNCH_AUTH_TOKEN,會比對 Authorization: Bearer 或 X-Auth-Token 標頭,不符就回 401。要注意的是:沒設定這個環境變數時,檢查會直接放行所有請求;修補也沒有改變 launch() 的預設綁定位置。

時間軸

延伸閱讀

• 評分: 9.8 是 CNA(GitHub)給的 CVSS 3.1 分數。NVD 尚未自行分析(2026-10-17 查詢時狀態為 Awaiting Analysis),目前唯一的分數就是 GitHub 的。
• 公開日期: 維護者的 GitHub 安全公告於 2026-06-17 公開(GitHub API 的 published_at;該頁含攻擊程式,本站不連結),早於 2026-10-12 的 CVE 紀錄,本頁以 6 月 17 日為首次公開。OSV 與 GitLab 寫的 2026-06-18 是 GitHub Advisory Database 審核收錄的時間;Vulert 的 CVE 頁面寫的 2026-07-23 是 PYSEC-2026-3537 的發布日。
• 是否算「遠端程式碼執行」: Miggo 把這個 CVE 標為「Unauth RCE」(未認證遠端程式碼執行)。官方公告與 CVE 紀錄描述的是「未認證呼叫代理」,沒有說能執行任意程式碼。PlainCVE 的判斷是:能否進一步執行程式碼,取決於代理被賦予了哪些工具,這個標籤應視為未確認。
• 利用狀況: 官方公告附有只在本機執行的概念驗證,用來確認端點不需認證就會回應(該頁含攻擊程式,本站不連結);這是公開的驗證程式,不是攻擊證據。資料中沒有遭實際利用或修補前被利用的證據。FIRST 的 EPSS(預測被利用機率的分數)為 0.33%(百分位約 24%,2026-10-16)。
• 發現者: 維護者的 GitHub 安全公告致謝 rexpository 為回報者(Reporter)。CVE 紀錄的發現欄位(discovery)為 UNKNOWN,那是發現管道的類別,不代表沒有致謝。
• 其他編號:PYSEC-2026-3537。