何が起きたか
A2AServerはGoogle A2AエージェントをHTTP（tasks/send、tasks/get、tasks/cancel）で公開しますが、秘密オプションが設定されている場合のみBearer認証を強制します。このオプションは任意であり、startServer()はフェイルクローズチェックを実行しないため、ネットワークに面したエージェントエンドポイントのデフォルト設定には認証がありません。プロジェクト自身のドキュメントはA2AサーバーをBearerゲート付きと説明しているため、フェイルオープンのデフォルトは文書化されたセキュリティ姿勢と矛盾し、パッケージのMCPトランスポート（秘密なしでは起動を拒否する）とも異なります。
なぜ重要か
これはエージェント間（A2A）プロトコルエンドポイントにおけるフェイルオープンの認証欠如の欠陥です。サーバーに到達できる攻撃者は、エージェントエグゼキュータに任意のタスクを送信したり、保存されたタスク結果を読んだり、タスクをキャンセルしたりできます。タスクテキストは開発者がエグゼキュータとして配線したものに直接渡されるため、影響はそのエージェントが駆動できるツールやシステムにまでエスカレートします。
攻撃経路
オペレーターがA2AServer.startServer()を秘密なしで起動します（このフィールドは任意でデフォルトなし）。Bearer認証ブロックはif (this.options.secret)でゲートされているため、秘密が設定されていない場合、認証チェック全体がスキップされ、ルートはタスク処理に進みます。攻撃者はエージェントカード（認証スキームを宣伝していない）に到達し、資格情報なしでJSON-RPCのtasks/send、tasks/get、tasks/cancelを送信し、攻撃者制御のタスクテキストを開発者提供のエグゼキュータに直接渡します。
影響を受けるシステム
network-ai npmパッケージ、A2AServerクラス（lib/a2a-server.ts）<= 5.15.4; 5.15.5で修正（または秘密を設定）。
緩和策
A2AServerにBearer秘密を設定する（フェイルクローズ）か、>= 5.15.5にアップグレードしてください。可能な場合はループバックにのみバインドし、A2Aエンドポイントを認証済みとして扱ってください。アドバイザリは、確認された最新リリースには修正がまだ存在しないことに言及しています。