2026-08 清源SCA社區安全情報月度總結

T1 MCP / Agent / AI：默認打開的信任邊界

8 月的 CSSA 和 CVE 裏，MCP、Agent、AI 運行時相關問題反覆出現。很多安全問題都和權限控制有關，而且風險往往在默認配置下就已經存在。

MetaMCP 能越權讀取 OAuth 憑證並冒充上游；modelcontextprotocol / python-sdk 有提示注入和 SSRF；hermes-agent 一連串問題（提示注入、沙箱關掉、審批被繞過、網關授權松）；Claude Code 則因環境變量沒轉義、命令包裝不嚴，傷到宿主機。月末仍有同類樣本：ArgoCD MCP 未授權就能 RCE，cc-connect 的 Webhook/管理口缺鑑權還疊命令注入，ToolUniverse 沙箱能逃，ash_ai / lmdeploy 這類推理組件也出了 RCE。需要關注的不只是單個 MCP Server，協議、SDK、網關、審批流程、CI/CD 插件和推理服務都在一條鏈上。

T2 fail-open：失敗後仍放行

另一類情況是：安全控件失敗後，系統仍放行。CubeSandbox / CubeOps 憑證弱或根本不認證，管理員令牌能偽造；openssl_encrypt（CVE-2026-74901）在 AES-GCM 失敗後退回無認證的 AES-CTR；Apache Superset MCP 把異常吞掉，認證等於沒了；hermes-agent 裏審批超時或交互模式，會被模型當成障礙直接繞過。評審時最好逐項問：解密失敗、鑑權報錯、審批超時、沙箱沒起來——代碼走的是哪條分支？

T3 SSRF：服務端代取 URL

SSRF 這個月也不少：SeaweedFS、Semantica、better-auth、TencentDB-Agent-Memory、sub2api、python-sdk、Adobe Campaign 等都有涉及。共同之處是——服務端替用户或 Agent 去請求一個 URL，校驗只做表面檢查，重定向或頭偽造就能繞過。凡是抓取、預覽、代理下載、拉圖、Webhook 回源，設計階段就該當高危面看，不要等 CVE 公佈後再補。

T4 供應鏈投毒：scope、混淆名與鏈上 C2

212 條投毒裏，絕大多數是 npm。幾種形態反覆出現：帶 scope 的包成批上架；企業內部名被搶注到公網（比如 sm-* 電商模塊、internallib_v*）；EtherHiding（@syncraft-labs/* 從以太坊交易裏解碼執行，C2 在鏈上，registry 下架清不掉）；再加上高版本號偽裝、反調試。只靠每天清名單不夠，需要按模式建庫：scope 家族、混淆命名、鏈上載荷、私有名碰撞。