谷歌 agent 框架的开发服务器，被一个网页劫持

你一边开着 agent 的调试界面，一边在另一个标签页刷某个论坛——那个页面里可能藏着恶意脚本。它不用进入你的电脑，也不用骗你点确认，就能操控你正在开发的 agent：读数据、开新会话、动产物。

一、发生了什么

10 月 23 日，美国国家漏洞库公布 CVE-2026-107858，CVSS 4.0 评分 7.2。谷歌面向 Java 开发者的开源 agent 框架 ADK，自带一个本地 Web 开发服务器，用来调试对话和查看状态。问题出在它的 WebSocket 端点：不校验请求来源，跨域策略放得过宽。于是，开发者浏览器里打开的任意网页，都能向本机的调试服务发消息，控制正在运行的 agent，管理它的会话和产物。受影响的是两个包：开发服务器本体和配套的构建插件，都是开发者本地常装的工具。修复版 1.13.0 已于 10 月 21 日发布，默认对跨域请求收紧，实时语音端点只接受同源连接，并且拒绝借本机回环地址转发过来的 DNS 重绑定探测。

二、跟你有什么关系

写 agent 的开发者：你的调试服务器和浏览器活在同一台机器上，浏览器的每个标签页都是潜在入口，这与你写得多规范无关，与框架默认配置有关。 带 agent 业务的团队：会话记录、用户数据、工具调用用的凭据都可能被读走，风险要按数据敏感度算，不按「只是本地测试」算。 普通用户：这波不用慌，问题出在开发环节，不是线上服务，手机上跑的应用不受影响；但如果你用过的 AI 编程工具在本地起过调试服务，原理是相通的。

三、怎么用

1. 用了 Java 版 ADK 的，直接升到 1.13.0，别等。升级后核对一遍自己项目里的跨域配置，手动放开过的要重新收紧。
2. 开发服务器用完就关，别挂着过夜。长期跑的 agent 服务更要检查它的来源校验。
3. 凡是自带本地网页界面的 agent 框架，都做一次同样的来源校验审计。这次的教训不属于谷歌一家，其他语言的同类框架未必没这个问题。
4. 顺手清一遍团队的存量机器。老版本往往散落在实习生电脑、CI 节点和临时容器里，这些地方最容易漏。

四、三个别信的说法

我跑在本机，外网碰不到，所以安全。 浏览器替外网打开了门。你访问的任何网页都能向本机端口发请求，只要服务端不验来源，就等于对全网开放，这是浏览器同源策略管不到的盲区。 这只是开发工具，不用当回事。 开发环境连着的往往是真数据。调试时挂着的 API 密钥、客户资料、测试库里的生产数据，泄露了不会因为你「在测试」就自动作废，合规追责也不区分测试环境。 升级版本号就完事了。 1.13.0 修的是默认行为。如果你的项目配置里手动写了允许所有来源，补丁帮不了你；同理，团队里还有老版本在跑的，升级清单要落实到每一台机器，升级完再做一次来源校验的回归测试。

五、一句话结论

浏览器能摸到本机端口的那一刻，localhost 就不再是防线。

信息来源

• ADK Java 漏洞分析 2026-10-23
• 1.13.0 发布说明 2026-10-21

功能与价格以官方公告为准。本文写于 2026 年 10 月 24 日。