何が起きたか
エージェントのドキュメント取得ツールにおけるCWE-918 SSRF。このツールは任意のクライアント指定URLを取得し、リダイレクトを追跡するため、ドキュメントコンテンツを制御する攻撃者は、間接的なプロンプトインジェクションを内部サービスやクラウドメタデータに到達するSSRFに連鎖させ、その応答をLLMにフィードバックできます。CVSS 8.7（CVSS 4.0）。
なぜ重要か
外部コンテンツ（ドキュメント）→ 注入された命令 → 内部エンドポイントへのサーバーサイドフェッチ → モデルコンテキストに返される機密データ。これは無害な「ドキュメントを読む」機能を内部ネットワーク開示チャネルに武器化します。
攻撃経路
fetch_docsおよびintrospect（openapi/graphql種類、およびresolve_source docs_url）は、クライアント指定のURLをスキーム/ホストの許可リストなしでURLSessionに渡し、無条件にリダイレクトを追跡します。取得したドキュメントに埋め込まれたプロンプトインジェクションペイロードは、モデルを内部またはメタデータエンドポイントに対してfetch_docsを呼び出し、その応答を会話にストリーミングバックするように誘導します。
影響を受けるシステム
PsychQuant liveDocs < 0.7.0
緩和策
liveDocs 0.7.0にアップグレードしてください（GitHub GHSA-xf4p-x7v8-3x4p）。