2026-08 清源SCA社区安全情报月度总结

T1 MCP / Agent / AI：默认打开的信任边界

8 月的 CSSA 和 CVE 里，MCP、Agent、AI 运行时相关问题反复出现。很多安全问题都和权限控制有关，而且风险往往在默认配置下就已经存在。

MetaMCP 能越权读取 OAuth 凭证并冒充上游；modelcontextprotocol / python-sdk 有提示注入和 SSRF；hermes-agent 一连串问题（提示注入、沙箱关掉、审批被绕过、网关授权松）；Claude Code 则因环境变量没转义、命令包装不严，伤到宿主机。月末仍有同类样本：ArgoCD MCP 未授权就能 RCE，cc-connect 的 Webhook/管理口缺鉴权还叠命令注入，ToolUniverse 沙箱能逃，ash_ai / lmdeploy 这类推理组件也出了 RCE。需要关注的不只是单个 MCP Server，协议、SDK、网关、审批流程、CI/CD 插件和推理服务都在一条链上。

T2 fail-open：失败后仍放行

另一类情况是：安全控件失败后，系统仍放行。CubeSandbox / CubeOps 凭证弱或根本不认证，管理员令牌能伪造；openssl_encrypt（CVE-2026-74901）在 AES-GCM 失败后退回无认证的 AES-CTR；Apache Superset MCP 把异常吞掉，认证等于没了；hermes-agent 里审批超时或交互模式，会被模型当成障碍直接绕过。评审时最好逐项问：解密失败、鉴权报错、审批超时、沙箱没起来——代码走的是哪条分支？

T3 SSRF：服务端代取 URL

SSRF 这个月也不少：SeaweedFS、Semantica、better-auth、TencentDB-Agent-Memory、sub2api、python-sdk、Adobe Campaign 等都有涉及。共同之处是——服务端替用户或 Agent 去请求一个 URL，校验只做表面检查，重定向或头伪造就能绕过。凡是抓取、预览、代理下载、拉图、Webhook 回源，设计阶段就该当高危面看，不要等 CVE 公布后再补。

T4 供应链投毒：scope、混淆名与链上 C2

212 条投毒里，绝大多数是 npm。几种形态反复出现：带 scope 的包成批上架；企业内部名被抢注到公网（比如 sm-* 电商模块、internallib_v*）；EtherHiding（@syncraft-labs/* 从以太坊交易里解码执行，C2 在链上，registry 下架清不掉）；再加上高版本号伪装、反调试。只靠每天清名单不够，需要按模式建库：scope 家族、混淆命名、链上载荷、私有名碰撞。