何が起きたか
PraisonAI のデフォルト検索ツール SSRF は、LLM 制御の searxng_url をスキーム/ホスト/ポート/解決済みアドレスの検証なしで requests.get に渡すことから発生します。モデルのコンテキストに悪意のあるテキストを注入できる攻撃者（プロンプトインジェクション経由）は、エージェントの検索を内部ホストとクラウドメタデータサービスにリダイレクトでき、応答はさらなるアクションのためにエージェントのコンテキストに直接フィードバックされます。
なぜ重要か
これにより、プロンプトインジェクションの足場が、エージェントを実行しているホストに対するネットワーク偵察とメタデータ漏洩のプリミティブに変わります：内部サービスのプロービング、SSRF 読み取り、メタデータエンドポイントを通じたクラウド IAM 資格情報の漏洩 — すべて検証されていない LLM 入力から発生します。
攻撃経路
searxng_search と search_web は、LLM 制御の searxng_url パラメータをスキーム、ホスト、ポート、または解決済みアドレスの検証なしで requests.get に直接渡します。プロンプトインジェクションされたコンテンツは、検索ツールを内部 JSON サービスに向け、内部ポートのオープン/クローズをプローブし、クラウドメタデータリクエストを試みます。返された JSON はエージェントのコンテキストに配置されます。
影響を受けるシステム
PraisonAI praisonaiagents < 1.6.62（searxng_search ツールおよび search_web SearxNG プロバイダー）
緩和策
praisonaiagents 1.6.62 にアップグレードしてください（コミット 2a855c470077c7d2e2479a575f7ef7f548d51c33; GHSA-4pcv-mg8v-vrgf）。リクエストを発行する前に searxng_url のスキーム、ホスト、アドレスを検証/解決してください。