事件经过
PraisonAI的AgentOS FastAPI部署面在当前主分支和发布版本中仍然无认证，尽管此前发布了针对GHSA-pm96 / CVE-2026-40151（一个在4.5.128中修复的指令泄露问题）的补丁。/api/agents和/api/chat都在未认证的情况下注册，并忽略Authorization头，因此未认证和错误的承载令牌请求都能执行部署的代理——比被动元数据泄露更广泛，因为它驱动了代理本身。建议CVSS 9.8。
影响分析
一个默认绑定所有接口且无认证的生产多代理面意味着任何可达的客户端都可以调用携带工具、私有上下文、记忆和API集成的代理。这是未认证的代理控制——代理框架缺陷中影响最大的一类。
攻击途径
AgentOS路由注册器暴露GET /api/agents和POST /api/chat，没有认证中间件、API密钥检查或承载令牌验证。聊天路由直接调用agent.chat(request.message)，错误的/缺失的Authorization头被忽略。远程未认证客户端可以到达代理并触发下游工具、私有上下文读取、记忆访问、浏览器操作和API集成，并消耗模型/API预算。
受影响系统
PraisonAI 4.2.1至4.6.59之前（AgentOS / AgentApp FastAPI部署面；v4.6.57和当前主分支仍受影响）
缓解措施
截至本报告，AgentOS面没有完全修复的公开版本；维护者通过4.6.58/4.6.61为其他公告发布了修复，但AgentOS在主分支上仍暴露。立即控制措施：不要在没有认证前端代理（强制承载认证的反向代理）的情况下在可达接口上暴露AgentOS，并绑定到127.0.0.1，直到真正修复发布。公告GHSA-892r-p3jq-jp24。