安全观察｜微行研究组
说明：本文依据AWS于十月一日发布的安全公告整理；公告没有说明该问题已在野外遭到利用。

AWS披露，其开源security-agent-mcp-server的差异扫描功能存在参数注入问题。MCP服务会让AI助手调用本地代码安全扫描；在受影响版本中，精心构造的引用值可能被当成命令行选项，而非代码版本标识。AWS称，在特定上下文下，这可能使文件在原定工作区之外被创建、覆盖或截断，绕过该服务的工作区约束。

受影响范围是该项目零点一一点一版及之后、零点二点零之前的版本，AWS称已在零点二点零修复，并建议升级。公告还表示，在升级前没有其他有效变通办法；临时措施是只对可信仓库运行差异扫描，并以最低权限账户和隔离环境执行，避免工具写入敏感主机文件。

工具调用本身也是安全边界

这类问题提醒团队，模型提示词、工作区目录或“只做扫描”的用途说明，都不能替代操作系统层面的限制。只要AI代理能调用具有文件写入能力的工具，外部仓库内容、分支名、差异引用和其他参数就都应视作不可信输入。参数需要按预期格式校验，并通过安全的参数数组传递，不能让用户可控文本被解释成新的命令选项。

部署MCP服务时，可把它放进短生命周期容器或独立虚拟机，限制可见目录、网络访问和凭据范围；扫描进程尽量只读，必须写入时再限定到临时目录。企业还应记录工具调用的参数、进程权限和文件变更，并测试恶意仓库内容是否能诱导代理越权。隔离有助于控制影响面，但并不意味着可以继续运行已知有缺陷的版本。

AWS公告提供了一个具体案例，说明智能体的安全不只取决于基础模型，也取决于连接器如何解析输入、执行命令和限定资源。团队应检查是否使用相关MCP组件或其分支，确认版本后升级到修复版；派生项目也需要同步审查修复，而非只更新上游依赖清单。

参考来源：AWS安全公告：security-agent-mcp-server参数注入问题；GitHub安全公告：修复版本与影响范围。