Apa yang terjadi
Celah keamanan di ag-ui-protocol ag-ui hingga 0.0.58 memengaruhi fungsi yang tidak diketahui di sdks/typescript/packages/client/src/agent/http.ts dari komponen HttpAgent. Manipulasi jarak jauh pada klien HTTP agen menghasilkan pengungkapan informasi (CWE-200/CWE-284). Eksploitasi telah dirilis ke publik, penilaian CVSS 4.0 menetapkan kematangan eksploitasi sebagai PROOF_OF_CONCEPT, dan pull request perbaikan masih menunggu penerimaan. Diverifikasi terhadap catatan REST API NVD yang diterbitkan 2026-11-01.
Mengapa penting
HttpAgent adalah klien HTTP antar-agen dalam SDK protokol agen ini. Vektor pengungkapan informasi di lapisan HTTP agen itu sendiri dapat membocorkan data permintaan/respons atau materi sesi yang seharusnya tidak dilihat agen lain. Radius ledakan sempit — paket protokol agen khusus dengan dampak pengungkapan informasi rendah — tetapi ini adalah kerentanan agen AI yang tercatat dan memiliki PoC yang layak dipantau.
Vektor serangan
Penyerang jarak jauh memanipulasi penanganan HTTP HttpAgent agen; tidak ada autentikasi atau interaksi pengguna yang diperlukan selain jangkauan jaringan, yang menyebabkan pengungkapan informasi yang diproses melalui klien HTTP agen. PoC publik ada.
Sistem yang terdampak
ag-ui-protocol ag-ui hingga 0.0.58 (komponen HttpAgent, sdks/typescript/packages/client/src/agent/http.ts)
Mitigasi
Tidak ada perbaikan yang diterima hingga jendela ini; pantau repositori ag-ui untuk pull request yang tertunda dan tingkatkan saat digabungkan, dan batasi paparan klien HTTP agen hanya ke peer tepercaya sampai diperbaiki.