何が起きたか
fast-agentはMCPエージェントエンドポイントを認証なしで提供し、ポート8000の全インターフェースにバインドします。これにより、リモートの未認証クライアントが公開されたエージェントツールを呼び出せ、--shellが有効な場合はローカルのシェル実行ツールを駆動してサーバーユーザーとしてOSコマンドを実行できます。--shellがない場合でも、攻撃者はオペレーターのモデルクォータを消費し、設定されたMCPツールを使用できます。
なぜ重要か
ネットワーク上に未認証のMCPサーフェスを公開するAIエージェントフレームワークは、直接的なエージェント実行の攻撃経路です。攻撃者にエージェントが使用するのと同じツール（シェル実行ツールを含む）を渡すことになり、ポートに到達できる誰でも実質的にエージェントホストをリモート制御できます。
攻撃経路
fast-agent serveは0.0.0.0:8000で未認証のHTTP/MCPトランスポートを実行します（CWE-306 認証欠如）。リモートクライアントは/mcpエンドポイントを呼び出します。--shellで起動された場合、エージェントはローカルのexecuteツールを呼び出せるため、攻撃者はサーバーユーザーとしてOSコマンド実行を達成します（CWE-78）。
影響を受けるシステム
fast-agent < 0.7.21（Model Context Protocolサポート付きAIエージェントフレームワーク）
緩和策
fast-agent 0.7.21にアップグレードしてください。