AIDEFEND in Action AIA-0112 實證研究發布於 AIA: 2026年10月26日

PraisonAI AgentMail：偽造 Webhook 訊息就能啟動 Agent

PraisonAI 是可把 AI agent 接到郵件與訊息服務的框架。受影響的 AgentMail Webhook 接收器會把未經驗證的網路請求當成新郵件，直接採用請求中的寄件者與內文，再交給 agent 處理。研究人員以真正的接收器搭配測試用 agent，確認偽造訊息確實能到達 agent；測試沒有寄出真實郵件，也沒有展示危險工具執行。這個漏洞的公開識別編號是 CVE-2026-61428，4.6.78 版已修補。

Authentication BypassTool AuthorizationAgentic AI

2 項對應的 AIDEFEND 防禦手法

來源: PraisonAI: AgentMail webhook lacks signature verification, allowing unauthenticated message injection and sender spoofing

作者: @MervinPraison

原文發布: 2026年6月25日

威脅分析

接收器把外部內容當成可信訊息：網路請求端自行提供看似郵件的 JSON。接收器接受事件類型、建立訊息，再把寄件者與文字交給 agent。若允許名單比對的寄件者欄位也來自這份未驗證內容，名單就無法證明寄件者身分。
已驗證的結果與後續風險分開看：真正的本機接收器確實把訊息交給測試用 agent，但公開測試沒有寄出真實郵件。要進一步執行危險工具，仍需要該工作流程具備相關工具，且惡意指示成功改變 agent 行為；本次測試未建立這些結果。
先管住誰能啟動工作：應在 JSON 轉換前驗證提供者原生簽章，再檢查重複投遞、發起者與資源，將合法事件綁定到固定工作流程。確認事件確實由提供者投遞，不等於寄件者可以借用工作流程擁有者的全部權限。

適用的 2 項 AIDEFEND 防禦手法

AID-H-003.010

Deployed AI Software Vulnerability Remediation Lifecycle

極高

盤點實際部署的 PraisonAI 套件，將 4.6.77（含）以前的版本更新到 4.6.78 或受支援的更新修補版，並確認接收器實際載入的版本。重新開放 Webhook 前，對真正的端點測試缺少簽章、簽章錯誤及合法簽章的請求；被拒絕的請求必須完全不會啟動 agent。驗證完成前先停用 Webhook／混合模式。輪詢與 WebSocket 是不同接收路徑，不能拿來證明 Webhook 已修好。

AID-H-004.007

External Event-to-Agent Admission & Authority Binding

極高

在部署方可控的接收器或啟動前閘道，使用該端點的簽章秘密值，先驗證 AgentMail／Svix 對原始請求內容的簽章、時間與重複投遞，再解析內容及排程。接著確認已驗證的信箱、寄件者與資源，只能啟動事先核准的有限工作流程。這需要 AgentMail 專用整合；指引中的 Slack HMAC 範例不能直接套用。合法投遞簽章或未驗證的 from 欄位，都不等於已授權內部資料搜尋、特權工具或任意回覆位址。接收器以外的直連路徑也必須封鎖。

身為資安防禦者，我們應該這麼做

更新受影響部署，對真正的接收器測試合法、缺少與錯誤簽章。完成驗證前，先停用受影響模式，或改由攻擊者無法繞過的接收閘道處理。
使用提供者的簽章驗證 SDK 與端點專用秘密值，在解析前驗證原始內容。以測試郵件與合成憑證確認重試、重複投遞、錯誤信箱與秘密值輪替的處理。
即使是合法來信，也先交給權限受限的分類工作流程。讀取私人資料、執行工具及選擇實際回覆對象，都要另外驗證授權。

結論

真正決定風險的是郵件事件轉成 agent 工作的那個時刻。AIDEFEND 將此邊界對應到軟體修補驗證與提供者專用的事件接收檢查，讓未驗證的請求內容無法借用工作流程擁有者的權限。

最後更新: 2026年10月26日