В Strands Agents нашли уязвимость, смешивавшую сессии ИИ-агентов между арендаторами
В Strands Agents SDK обнаружили уязвимость CVE-2026-115419, из-за которой A2A-сервер в некоторых конфигурациях мог смешивать состояние разговоров разных пользователей. Проблема затрагивает Python-пакет strands-agents до версии 1.43.0 и TypeScript-пакет @strands-agents/sdk до версии 1.5.0.
Что произошло
В бюллетене AWS и записи GitHub Advisory Database сказано, что сервер Agent-to-Agent не обеспечивал надёжную изоляцию истории между вызывающими сторонами с разными context_id. В многопользовательском развёртывании авторизованный удалённый пользователь мог получить доступ к истории чужого разговора или повлиять на дальнейшее поведение агента. Уязвимости присвоен высокий уровень серьёзности: CVSS 8.1.
Речь идёт не о взломе облачной инфраструктуры AWS, а о дефекте компонента открытого SDK, который разработчики могут использовать для публикации агента по HTTP. Риск возникает прежде всего там, где один A2A-сервер обслуживает несколько пользователей или арендаторов.
Что исправлено
Разработчики выпустили strands-agents 1.43.0 и @strands-agents/sdk 1.5.0. В них сервер создаёт отдельное состояние агента для каждого контекста. AWS рекомендует обновить зависимости и проверить форки или производные реализации, если они копировали уязвимый код.
До обновления полноценного обходного решения нет: разработчики советуют не открывать A2A-сервер для нескольких пользователей или запускать отдельный экземпляр для каждого пользователя либо арендатора. Командам также стоит проверить журналы обращений к A2A-эндпоинтам и убедиться, что контексты привязаны к аутентифицированной личности, а не только к значению, присланному клиентом.