事件经过
Google ADK for Java中的ADK Web开发服务器接受来自任何来源的WebSocket和REST请求，且没有认证。由于服务器绑定localhost但请求来自开发者的浏览器，恶意页面可以控制本地运行的代理、调用其工具、读取或修改会话和工件。在1.13.0中修复。CVSS 7.2，发布日期2026-10-23。
影响分析
浏览器到本地主机的代理接管：AI代理框架的开发服务器被开发者访问的任何页面静默控制。代理以开发者的权限和上下文运行工具，因此无需触及代理自身的代码即可实现工具滥用、会话/工件窃取和未授权的代理操作。
攻击途径
/run_live WebSocket端点接受来自任何来源的连接（≤1.5.0中硬编码setAllowedOrigins("*")，1.6.0–1.12.0中通过adk.web.cors.origins默认*），REST API默认返回Access-Control-Allow-Origin: *。由于服务器没有认证，请求来自开发者的浏览器，跨源页面可以向代理发送消息、触发工具、流式响应和读取/管理会话和工件。在1.6.0–1.12.0中设置adk.web.cors.origins为明确的允许列表。
受影响系统
com.google.adk:google-adk-dev 0.1.0至1.13.0之前；com.google.adk:google-adk-maven-plugin 0.3.0至1.13.0之前
缓解措施
升级到google-adk-java 1.13.0（对CORS和/run_live强制同源默认值，拒绝通过环回的DNS重绑定）。对于1.6.0–1.12.0，设置adk.web.cors.origins为可信来源的明确允许列表；开发代理服务器运行时不要浏览网页。