事件经过
Google ADK Python FileArtifactService 将路径构造为 root/users/{user_id}/... 而不是 root/apps/{app_name}/users/{user_id}/...，导致资源暴露给错误的作用域（CWE-668）。2.6.0 中的部分作用域更改在 2.7.0/1.39.1 关闭之前，为读取/删除留下了旧的回退机制。
影响分析
代理工件通常携带敏感状态、凭据或中间推理过程。跨应用工件访问缺陷意味着一个代理/应用可以读取或覆盖共享代理主机中另一个代理的工件，从而能够篡改另一个代理的状态。
攻击途径
FileArtifactService 在其公开 API 方法中接受 app_name，但在构建磁盘路径时省略了它，因此在一个应用程序中的调用者可以列出、读取、覆盖或删除共享根目录及相同 user_id/session_id 的另一个应用程序的工件。
受影响系统
google-adk >= 1.19.0, < 1.39.1 且 >= 2.0.0a1, < 2.7.0
缓解措施
升级到 google-adk 1.39.1（1.x 版本回移）或 2.7.0，这些版本强制实施按应用的路径作用域并移除旧的 root/users/{user_id} 回退机制。