代理控制平面上的滿分漏洞：AWS Loom 的缺陷讓任何人都能成為超級管理員

2026 年 10 月 2 日，AWS 發布資安公告 2026-124-AWS，披露其 AWS Labs 之下維護的開源 AI 代理協作平台 Loom for AWS 存在三個漏洞。其中最嚴重的 CVE-2026-103956 拿下了 CVSS v3.1 滿分 10.0——評分系統所能給出的最高嚴重度。在未設定身分識別提供者的部署環境中，任何未經驗證的網路客戶端都能取得代理控制平面的完整管理權限：註冊惡意工具伺服器、讀取儲存的整合憑證、改寫掛在受管代理角色上的 IAM 角色政策。

這在實務上意味著什麼，很難誇大。代理協作平台的控制平面，是決定代理可以呼叫哪些工具、使用哪些憑證、繼承哪些雲端權限的那一層。在這裡被奪走超級管理員權限，不是資料外洩——而是整個代理堆疊連同受害者的 AWS 身分一起移交給攻擊者。

滿分 10.0 的解剖

CVSS 向量字串說明了一切：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。可經網路利用、攻擊複雜度低、無需任何權限、無需使用者互動、範圍變更（缺陷跨越授權邊界），且對機密性、完整性、可用性三者皆造成完全影響。所有能推高分數的因子全部拉滿。受影響版本涵蓋 >=0 <1.6.1，也就是修復之前出過的每一個 Loom 版本都有問題。

根本原因被歸類為 CWE-306（關鍵功能缺少身分驗證）搭配 CWE-1188（不安全的預設初始化）。換句話說：當沒有設定身分識別提供者時，Loom 的身分驗證依賴元件根本沒有對應用程式 API 強制執行驗證。因應措施中的一個細節很能說明問題——管理員被要求確認部署環境中 LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV 環境變數未被設定。一個為本地開發而設的便利開關，在後端暴露於網路時仍然可達，正是那種把開發工具變成敞開大門的預設值。

AWS 已於 2026 年 8 月 4 日發布的 Loom 1.6.1 修復 CVE-2026-103956。協調揭露的功勞屬於獨立研究人員 Kenneth Cox。

隨之而來的一對：OAuth2 外洩與 SSRF

公告中另外兩個發現較為隱晦，但在多人或團隊環境中可能同樣危險，而且都直到 Loom 1.7.0 才被完整修復：

CVE-2026-103957（CWE-918、CWE-201）——Loom 的 OAuth2 discovery 處理問題。持有 mcp:write 或 a2a:write 權限範圍的已驗證使用者，可以設定一個 well-known discovery URL，其文件會指示後端把 OAuth2 客戶端密鑰——或另一個使用者的存取權杖——送往第三方控制的端點。值得注意的是，1.6.1 版早已封鎖此程式路徑對內部位址的存取，但那個部分修復並未擋住權杖外洩。完整修復直到 1.7.0 才到位。

CVE-2026-103958（CWE-918）——工具伺服器（MCP）與遠端代理（A2A）連線處理中的伺服器端請求偽造（SSRF）。同樣的寫入權限範圍允許使用者把連線請求導向任意內部網路位置——包括容器的憑證發放端點——並讀取回應。在容器化的 AWS 部署中，憑證發放端點正是存放臨時 IAM 角色憑證的地方；對它的 SSRF 等於直接竊取工作負載的身分。

這兩個缺陷共享同一個主題：MCP 與 A2A 整合介面——正是代理生態系統正在標準化的協定——被信任可以發起對外連線並處理 OAuth2 流程，而只要一個具備寫入權限的帳號被攻破，這份信任就變成武器。

隔壁的第四個漏洞

在同一時間窗口發布的姊妹公告（2026-125-AWS）中，AWS 還披露了 CVE-2026-104019：SageMaker Unified Studio 中 SageMaker Spaces 啟動腳本的作業系統命令注入，已在 SageMaker Distribution 4.1.11 修復。兩份公告、四個 CVE、同一個主題：AI 工具層如今所受到的漏洞檢視——以及所產生的漏洞嚴重度——已經是過去只有邊界防護軟體才享有的等級。

營運團隊現在該做什麼

AWS 的指引異常具體，對任何運維代理基礎設施的人來說，它本身就是一份檢查清單：

1. 升級到 Loom 1.7.0（起碼升到 1.6.1 以修復身分驗證繞過），並修補任何 fork 或衍生程式碼——由於 Loom 是開源專案，AWS 明確警告 fork 副本必須手動併入修復。
2. 升級之前：確保在後端可從 loopback 以外存取之前，已完整設定 Cognito 使用者集區或作用中的外部身分識別提供者，並將 mcp:write 與 a2a:write 權限範圍（即 g-admins-super、g-admins-mcp、g-admins-a2a、g-admins-demo 群組成員資格）限制給受信任的管理員。
3. 升級之後：輪替所有為 MCP/A2A 整合設定的 OAuth2 客戶端密鑰，撤銷並重新簽發受影響期間有效的所有存取權杖，而且——若容器角色憑證可能已被存取——輪替該 IAM 角色的工作階段憑證並檢查 CloudTrail 是否有異常使用。

最後這一步很重要，因為從外部無法判斷一個有漏洞的部署是否已被觸碰。一個不需要任何驗證的 10.0 分漏洞，本身不會留下任何登入軌跡。

為什麼代理平台不斷出事

這不是孤立事件。八月間，被稱為 CoreBreak 的研究顯示，AWS Bedrock AgentCore 的 CVE-2026-18830 如何讓已驗證使用者繞過模型調用及其安全控制、直接執行已設定的工具——研究者將這種「harness bypass」定位為跨平台的代理執行環境漏洞類別，而非單一 bug。放眼整個產業，今年的漏洞報告已越來越頻繁地命中代理護欄、MCP 工具代理與編碼代理沙箱。

結構性的原因很直接。代理協作平台把三樣東西集中在同一個 API 後面：憑證儲存、身分升級、網路對外連線。傳統應用程式把這些關注點分散在不同層；代理平台把它們塌縮在一起，好讓模型能夠行動。結果就是，一個缺失的身分驗證檢查——CWE-306，書本上最古老的弱點類別之一——現在值 10.0 分而不是 7 分。

時機讓這一點更加尖銳。光是本週，就有整整一波建立在代理基礎設施上的「決策模型」發表（Cloudflare 的 Clef、Perplexity 附開源 pplx-decider-v1-27b 的 Decisions API、亞馬遟自家的 Strands Decider 2B），Microsoft 的數位防禦報告結論指出 AI 已讓近期網路攻擊優勢倒向攻擊方，Apple 也明言因為 AI 代理風險而收緊 macOS 完整磁碟權限。產業正把代理接進所有東西，而它的安全地基正同時被壓力測試。

對建立在 Loom 上的團隊，訊息很直接：這是一次「立即修補、輪替一切」的事件，不是讀完歸檔的公告。對其他正在打造代理平台的人，CVE-2026-103956 是迄今最乾淨的示範：在代理式架構中，「未設定身分識別提供者」絕不能悄悄等於「人人都是管理員」。滿分存在的原因，正是因為這個失敗模式也是滿分的：無需憑證、無需互動、完全淪陷。