무슨 일이 있었나
A2AServer는 HTTP를 통해 Google A2A 에이전트를 노출하지만 (tasks/send, tasks/get, tasks/cancel) 시크릿 옵션이 구성된 경우에만 Bearer 인증을 적용합니다. 옵션이 선택 사항이고 startServer()가 fail-closed 검사를 수행하지 않으므로 네트워크에 노출된 에이전트 엔드포인트의 기본 구성에는 인증이 없습니다. 프로젝트 자체 문서는 A2A 서버를 Bearer로 보호된다고 설명하므로 fail-open 기본값은 문서화된 보안 태세와 모순되며, 시크릿 없이는 시작을 거부하는 패키지의 MCP 전송과 다릅니다.
왜 중요한가
이것은 에이전트 간 (A2A) 프로토콜 엔드포인트에서의 fail-open 인증 누락 결함입니다. 서버에 도달할 수 있는 모든 공격자는 에이전트 실행자에게 임의 작업을 제출하고 저장된 작업 결과를 읽고 작업을 취소할 수 있습니다. 작업 텍스트가 개발자가 연결한 실행자에게 직접 전달되므로 영향은 해당 에이전트가 구동할 수 있는 모든 도구 또는 시스템으로 확대됩니다.
공격 경로
운영자가 시크릿 없이 A2AServer.startServer()를 시작합니다 (필드는 선택 사항이며 기본값 없음). Bearer 인증 블록은 if (this.options.secret)에 의해 제어되므로 시크릿이 구성되지 않으면 전체 인증 검사가 건너뛰어지고 경로가 작업 처리로 진행됩니다. 공격자는 인증 체계를 광고하지 않는 에이전트 카드에 도달하여 자격 증명 없이 JSON-RPC tasks/send, tasks/get, tasks/cancel을 제출하고 공격자가 제어하는 작업 텍스트를 개발자 제공 실행자에게 직접 전달합니다.
영향받는 시스템
network-ai npm 패키지, A2AServer 클래스 (lib/a2a-server.ts) <= 5.15.4; 5.15.5에서 수정 (또는 시크릿 구성).
완화 방안
A2AServer에 Bearer 시크릿을 구성하고 (fail closed) >= 5.15.5로 업그레이드하십시오; 가능한 경우 루프백에만 바인딩하고 A2A 엔드포인트를 인증된 것으로 취급하십시오. advisory는 확인된 최신 릴리스에 수정이 아직 없음을 지적했습니다.