Apa yang terjadi
Kerangka kerja agen tidak memiliki batas interaksi antara konten saluran yang tidak tepercaya dan tindakan agen yang memiliki hak istimewa: pesan langsung jarak jauh diubah menjadi giliran agen, dan sinkronisasi latar belakang menempatkan konten eksternal mentah ke dalam konteks model tanpa menetralkan instruksi atau memerlukan persetujuan untuk penggunaan alat. Jalur yang didemonstrasikan membuat pekerjaan cron shell persisten melalui agen, mencapai eksekusi perintah persisten yang tidak sah sebagai pengguna runtime. Gerbang persetujuan juga menggunakan kembali token pembawa JSON-RPC sebagai pengidentifikasi sesi persetujuan, membocorkannya melalui catatan dan log persetujuan yang tersimpan.
Mengapa penting
Ini adalah kelas serangan eksekusi agen yang baru: agen otonom, yang digerakkan murni melalui pesan masuk pada integrasi obrolan/email normal, dapat mempertahankan pekerjaan shell yang dieksekusi nanti — melewati model persetujuan manusia-dalam-loop yang diandalkan oleh para pembela. Ini juga menunjukkan bagaimana metadata MCP/server dan konten yang disinkronkan dari latar belakang secara diam-diam disisipkan ke dalam konteks agen, yang merupakan rute injeksi prompt tidak langsung yang kanonik menuju penyalahgunaan alat agen.
Vektor serangan
Penyerang yang dapat mengirim pesan ke saluran eksternal yang dikonfigurasi (email, Slack, Notion, Yuanbao) menyebabkan agen membuat pekerjaan cron shell persisten tanpa persetujuan manusia; penjadwal kemudian mengeksekusinya sebagai pengguna runtime OpenHuman. Validasi perintah mengizinkan penetapan lingkungan di awal yang dapat mengalihkan perintah yang diizinkan ke executable pembantu yang sudah ada di host. Jalur terkait tambahan memungkinkan pesan saluran mendapatkan kebijakan alat default dan metadata server MCP yang tidak tepercaya mencapai konteks model tanpa dinetralkan.
Sistem yang terdampak
OpenHuman < 0.57.13 (cron/saluran eksternal); < 0.57.5 (token persetujuan/token lingkungan); < 0.57.13 (injeksi konteks metadata MCP); < 0.56.0 (Socket.IO, SSE, getDisplayMedia)
Mitigasi
Tingkatkan ke OpenHuman v0.57.13 (dan v0.56.0 untuk masalah transportasi yang lebih lama). Tinjau catatan/log persetujuan yang tersimpan untuk token pembawa yang bocor dan putar OPENHUMAN_CORE_TOKEN per-peluncuran di macOS.