事件经过
NVD发布了poco-claw任务执行器中的高严重级别（CVSS 7.3）SSRF漏洞，通过run_task函数的callback_url参数触发，且已有公开漏洞利用。
影响分析
poco-claw是AI代理执行/任务平台；其任务回调机制中的SSRF可用于从代理执行环境到达内部云元数据服务或仅限内部系统，这是进一步破坏AI基础设施的常见枢纽点。
攻击途径
executor/app/api/v1/task.py中的run_task函数接受未验证的callback_url参数，允许攻击者操纵它以强制服务器向任意内部或外部端点发出请求（SSRF），远程且有公开可用的漏洞利用。
受影响系统
poco-ai poco-claw至0.5.4
缓解措施
披露时未确认官方补丁；限制/验证callback_url到受信任主机的允许列表，阻止对内部/元数据IP范围的请求。