何が起きたか
エージェントハーネスには、信頼されていないチャネルコンテンツと特権エージェントアクションの間のインタラクション境界がありません。リモートのダイレクトメッセージがエージェントターンに変換され、バックグラウンド同期は生の外部コンテンツを命令を無効化したりツール使用の承認を要求したりせずにモデルコンテキストに配置します。実証されたパスは、エージェントを介して永続的なシェルcronジョブを作成し、ランタイムユーザーとして承認されていない永続的なコマンド実行を達成します。承認ゲートはまた、JSON-RPCベアラートークンを承認セッション識別子として再利用し、永続化された承認記録とログを通じてそれを漏洩させます。
なぜ重要か
これは新規のエージェント実行攻撃クラスです。自律エージェントが、通常のチャット/メール統合での受信メッセージのみによって駆動され、後で実行されるシェルジョブを永続化でき、防御側が依存する人間参加型の承認モデルをバイパスします。また、MCP/サーバーメタデータとバックグラウンド同期されたコンテンツがエージェントコンテキストに静かに挿入される方法を示しており、これはエージェントツール誤用への典型的な間接プロンプトインジェクション経路です。
攻撃経路
設定された外部チャネル（メール、Slack、Notion、元宝）にメッセージを送信できる攻撃者は、エージェントに人間の承認なしで永続的なシェルcronジョブを作成させ、スケジューラが後でOpenHumanランタイムユーザーとして実行します。コマンド検証は、許可されたコマンドをホスト上に既に存在するヘルパー実行可能ファイルにリダイレクトできる先頭の環境割り当てを許可します。追加の関連経路により、チャネルメッセージがデフォルトのツールポリシーを取得し、信頼されていないMCPサーバーメタデータが中和されずにモデルコンテキストに到達することができます。
影響を受けるシステム
OpenHuman < 0.57.13（cron/外部チャネル）; < 0.57.5（承認トークン/環境トークン）; < 0.57.13（MCPメタデータコンテキスト注入）; < 0.56.0（Socket.IO、SSE、getDisplayMedia）
緩和策
OpenHuman v0.57.13（古いトランスポート問題についてはv0.56.0）にアップグレードしてください。漏洩したベアラートークンについて永続化された承認記録/ログを確認し、macOSで起動ごとのOPENHUMAN_CORE_TOKENをローテーションしてください。