事件背景：AI框架的“裸奔”风险
在当前AI技术快速落地的浪潮中，开源AI编排框架被大量引入企业业务流。近期，开源AI编排框架PraisonAI被曝存在严重的认证绕过漏洞（CVE-2026-44338），该漏洞影响版本范围为2.5.6至4.6.33。
从我们的应急响应经验来看，攻击者对新披露漏洞的响应速度正变得极度“工业化”。此次事件中，漏洞信息在GitHub发布后不到4小时，互联网扫描器“CVE-Detector/1.0”便开始对暴露的PraisonAI实例进行针对性探测。这种“披露即扫描”的节奏，要求企业必须具备极高的漏洞修复响应能力。
攻击链分析：从通用探测到精准打击
根据监测分析，攻击者的行为链路非常清晰，且具有典型的自动化特征：
首先是通用侦察阶段，攻击者会尝试访问常见的敏感路径，如 /.env 或 /admin，用于确认目标环境的指纹。
紧接着是针对性利用阶段。在确认目标为PraisonAI后，扫描器迅速转向特定端点，包括 /praisonai/version.txt、/docs 以及核心的 /api/agents/config 和 /api/agents。一旦成功绕过认证，攻击者即可直接操控AI代理工作流。
这一环节是很多企业容易忽视的：攻击者并不一定直接执行任意代码，而是通过控制AI工作流的触发权限，利用合法业务逻辑实现恶意目的。如果该工作流被赋予了高权限，其后果往往等同于远程命令执行。
技术手法解析：硬编码的“后门”
本次漏洞的核心在于PraisonAI内置的一个基于Flask的遗留API服务器组件（src/praisonai/api_server.py）。研究发现，该组件在设计上直接将“AUTH_ENABLED”参数硬编码为False，并将“AUTH_TOKEN”设为None。
这种开发阶段遗留的“便利”，在生产环境中就变成了致命的缺陷。由于check_auth()辅助函数在认证关闭时始终返回True，导致所有受保护的路由实际上处于“全开”状态。任何能够访问到该服务端口的请求，无需任何令牌即可调用AI代理接口。
Solar安全建议与应急经验
针对此类AI组件安全风险，Solar应急响应团队提出以下建议：
首先，立即升级版本。请受影响用户尽快将PraisonAI升级至4.6.34及以上版本。新版本不仅移除了不安全的遗留API行为，还引入了更严格的认证机制。
其次，彻底弃用遗留接口。如果业务逻辑允许，应彻底停止使用旧版 api_server.py 入口。在未完成升级前，建议在网络层进行严格访问控制，通过防火墙或API网关限制对相关路径的访问。
最后，强化监控策略。防御者应重点关注包含“CVE-Detector/1.0”特征的User-Agent请求，并对访问 /api/agents、/chat 等核心路径的异常流量保持高度警惕。类似攻击近年来明显增加，对于AI服务这种高度依赖配置的组件，企业必须将其视为生产级资产，确保网络隔离、认证强校验及审计日志的全覆盖。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com