何が起きたか
AgentScopeのMCPワークスペースAPIは、攻撃者の影響を受ける引数からサブプロセスコマンドを構築し、リモートOSコマンド注入を可能にします（公開PoC）。別途、エージェントサービスは呼び出し元が提供するX-User-IDから現在のユーザーを解決し（認証欠如）、Bashツールの権限チェックは2.0.8までのバージョンで誤っており、本来制限されるコマンドが実行できます。
なぜ重要か
AgentScopeは、Bashツールとエージェントがコマンドを実行するMCPワークスペースを備えたエージェントランタイムを提供します。これらの欠陥により、攻撃者はオペレーティングシステムコマンドを注入したり、任意のユーザーになりすましてエージェントツールを実行でき、エージェントとその資格情報が存在するホストを侵害できます。
攻撃経路
リモート攻撃者は、MCPワークスペースAPIのコマンド引数を介してOSコマンド注入をトリガーするか、X-User-IDヘッダーを悪用してエージェントサービスの認証をバイパスするか、Bashツールの期待よりも弱い認可を悪用してブロックされるべきコマンドを実行します。
影響を受けるシステム
AgentScope <= 2.0.11（コマンド注入、認証バイパス）; <= 2.0.8（Bashツール認可）
緩和策
リリースされた修正はまだありません。修正PR（agentscope#3448）は受け入れ待ちです。パッチリリースを監視し、MCPワークスペースとエージェントサービスのエンドポイントの露出を制限し、信頼されていないコマンド文字列をワークスペースAPIに渡さないでください。