무슨 일이 있었나
에이전트 하네스는 신뢰할 수 없는 채널 콘텐츠와 권한 있는 에이전트 작업 간에 상호작용 경계가 없습니다: 원격 직접 메시지가 에이전트 턴으로 변환되고, 백그라운드 동기화가 원시 외부 콘텐츠를 모델 컨텍스트에 넣으면서 명령을 무력화하거나 도구 사용 승인을 요구하지 않습니다. 입증된 경로는 에이전트를 통해 영구 셸 cron 작업을 생성하여 런타임 사용자로 승인되지 않은 영구 명령 실행을 달성합니다. 승인 게이트는 또한 JSON-RPC 베어러 토큰을 승인 세션 식별자로 재사용하여, 지속된 승인 기록 및 로그를 통해 토큰을 누출시킵니다.
왜 중요한가
이것은 새로운 에이전트 실행 공격 클래스입니다: 자율 에이전트가 일반 채팅/이메일 통합을 통해 인바운드 메시지로만 구동되어, 나중에 실행되는 셸 작업을 지속시킬 수 있으며, 이는 수비측이 의존하는 인간-인-루프 승인 모델을 우회합니다. 또한 MCP/서버 메타데이터와 백그라운드 동기화 콘텐츠가 에이전트 컨텍스트에 조용히 삽입되는 방식을 보여주며, 이는 에이전트 도구 오용의 전형적인 간접 프롬프트 주입 경로입니다.
공격 경로
구성된 외부 채널(이메일, Slack, Notion, Yuanbao)에 메시지를 보낼 수 있는 공격자는 인간 승인 없이 에이전트가 영구 셸 cron 작업을 생성하도록 유도하며, 스케줄러가 나중에 이를 OpenHuman 런타임 사용자로 실행합니다. 명령 검증은 허용된 명령을 호스트에 이미 있는 헬퍼 실행 파일로 리디렉션할 수 있는 선행 환경 할당을 허용합니다. 추가 관련 경로는 채널 메시지가 기본 도구 정책을 받고, 신뢰할 수 없는 MCP 서버 메타데이터가 중화되지 않은 채 모델 컨텍스트에 도달하도록 합니다.
영향받는 시스템
OpenHuman < 0.57.13 (cron/외부 채널); < 0.57.5 (승인 토큰/환경 토큰); < 0.57.13 (MCP 메타데이터 컨텍스트 주입); < 0.56.0 (Socket.IO, SSE, getDisplayMedia)
완화 방안
OpenHuman v0.57.13로 업그레이드 (이전 전송 문제의 경우 v0.56.0). 지속된 승인 기록/로그에서 누출된 베어러 토큰을 검토하고 macOS에서 실행별 OPENHUMAN_CORE_TOKEN을 교체하세요.