事件经过
对refly（一个开源AI编码/智能体工作空间）的安全分析发现，API配置模块中硬编码了JWT签名凭据，使远程攻击者可以伪造认证令牌。尽管已联系，供应商在披露时未回应，也未发布修复措施。
影响分析
Refly是一个AI智能体工作空间，用户在其中暴露代码生成、仓库访问和LLM API凭据；硬编码的签名密钥允许远程攻击者铸造有效会话令牌，击败了保护AI工具及任何连接的LLM/提供商密钥的认证边界。
攻击途径
app.config.ts中的JWT令牌处理器附带了用于签名/验证会话令牌的硬编码凭据；远程攻击者可以使用已知密钥铸造通过验证的令牌，并访问应用程序的认证表面。
受影响系统
refly-ai refly直至并包括1.1.0（apps/api/src/modules/config/app.config.ts JWT处理器）
缓解措施
截至发布时无供应商修复；限制网络暴露，轮换任何派生密钥，并监控伪造令牌活动，直至供应商回应。