事件经过
AgentScope的MCP Workspace API从攻击者影响的参数构建子进程命令，实现远程操作系统命令注入（公开PoC）。另外，Agent Service从调用者提供的X-User-ID解析当前用户（缺少认证），且Bash工具在2.0.8及之前版本的权限检查不正确，允许本应受限的命令。
影响分析
AgentScope提供具有Bash工具和MCP工作区的智能体运行时，智能体在其中执行命令。这些缺陷使攻击者可以注入操作系统命令或冒充任何用户运行智能体工具，从而危及智能体及其凭据所在的主机。
攻击途径
远程攻击者通过MCP Workspace API命令参数触发操作系统命令注入，或滥用X-User-ID头绕过Agent Service认证，或利用Bash工具中弱于预期的授权运行本应被阻止的命令。
受影响系统
AgentScope <= 2.0.11（命令注入、认证绕过）；<= 2.0.8（Bash工具授权）
缓解措施
尚未发布修复——修复PR（agentscope#3448）待接受；监控补丁版本发布，限制MCP工作区和服务端点的暴露，不要向工作区API传递不可信命令字符串。