무슨 일이 있었나
NVD가 2026-07-26에 CVE-2026-17432 (CVSS 5.0, 중간)을 발표했으며, hermes-agent의 SimpleX 플랫폼 어댑터의 부적절한 권한 부여 결함을 설명합니다. 여기서 contactId 인수는 게이트웨이 권한 부여를 우회하도록 조작될 수 있습니다.
왜 중요한가
hermes-agent는 NousResearch(주목할 만한 오픈 가중치 모델 연구실)의 오픈소스 자율 AI 에이전트 프레임워크입니다; 그 메시징 게이트웨이의 contactId 권한 부여 우회는 공격자가 다른 사용자와 에이전트의 대화 컨텍스트를 사칭하거나 하이재킹할 수 있게 할 수 있습니다. 그러나 좁은 범위(단일 메시징 어댑터)가 영향 범위를 제한합니다.
공격 경로
hermes-agent/plugins/platforms/simplex/adapter.py 구성 요소는 SimpleX 메시징 게이트웨이 통합에서 contactId 인수를 올바르게 검증하지 못하여, 공격자가 인수를 조작하고 메시징 채널에 대한 의도된 권한 부여 확인을 우회할 수 있습니다.
영향받는 시스템
NousResearch hermes-agent 2026.6.5
완화 방안
NousResearch/hermes-agent 저장소에서 패치를 모니터링합니다; contactId 검증이 수정될 때까지 SimpleX 게이트웨이 노출을 제한합니다.