何が起きたか
PraisonAIのAgentOS FastAPIデプロイメントサーフェスは、現在のmainブランチおよび以前のGHSA-pm96 / CVE-2026-40151（4.5.128で修正された指示開示の問題）に対する公開パッチ後のリリースでも、認証なしのままです。/api/agentsと/api/chatの両方が認証なしで登録され、Authorizationヘッダーを無視するため、認証されていないリクエストと誤ったベアラートークンを含むリクエストの両方がデプロイされたエージェントを実行します。これはパッシブなメタデータ開示よりも広範囲で、エージェント自体を駆動します。提案CVSS 9.8。
なぜ重要か
本番のマルチエージェントサーフェスが、デフォルトで全インターフェースにバインドされ認証なしであるため、到達可能なクライアントは誰でも、ツール、プライベートコンテキスト、メモリ、API統合を備えたエージェントを呼び出せます。これは認証なしのエージェント制御であり、エージェントフレームワークの欠陥の中で最も影響の大きいクラスです。
攻撃経路
AgentOSのルートレジストラは、認証ミドルウェア、APIキーチェック、またはベアラートークン検証なしでGET /api/agentsとPOST /api/chatを公開します。チャットルートは直接agent.chat(request.message)を呼び出し、誤った/欠落したAuthorizationヘッダーは無視されます。リモートの認証されていないクライアントはエージェントに到達し、下流のツール、プライベートコンテキストの読み取り、メモリアクセス、ブラウザ操作、API統合をトリガーし、モデル/API予算を消費できます。
影響を受けるシステム
PraisonAI 4.2.1から4.6.59未満（AgentOS / AgentApp FastAPIデプロイメントサーフェス; v4.6.57および現在のmainも影響を受けます）
緩和策
この報告書時点で、AgentOSサーフェスに対する完全に修正された公開リリースはありません。メンテナは他のアドバイザリに対して4.6.58/4.6.61までの修正を出しましたが、AgentOSはmain上で引き続き露出しています。即時対策: 認証フロントプロキシ（強制ベアラー認証付きリバースプロキシ）なしで到達可能なインターフェースにAgentOSを公開せず、本物の修正がリリースされるまで127.0.0.1にバインドしてください。アドバイザリGHSA-892r-p3jq-jp24。