事件经过
代理的文档获取工具中的 CWE-918 SSRF。该工具获取任意客户端提供的 URL 并跟随重定向，因此控制文档内容的攻击者可以链式利用间接提示注入发起 SSRF，访问内部服务或云元数据，并将响应反馈给 LLM。CVSS 8.7（CVSS 4.0）。
影响分析
外部内容（文档）→ 注入指令 → 服务器端请求内部端点 → 敏感数据返回模型上下文。它将“阅读文档”这一良性能力武器化为内部网络泄露通道。
攻击途径
fetch_docs 和 introspect（openapi/graphql 类型，以及 resolve_source docs_url）将客户端提供的 URL 传递给 URLSession，无方案/主机白名单，并无条件跟随重定向。嵌入获取文档中的提示注入载荷引导模型对内部或元数据端点调用 fetch_docs，并将响应流式传回对话中。
受影响系统
PsychQuant liveDocs < 0.7.0
缓解措施
升级到 liveDocs 0.7.0（GitHub GHSA-xf4p-x7v8-3x4p）。