このAWSセキュリティ情報、2026-069-AWSは、Strands Agents SDKにおける重要な脆弱性について説明しています。strands-agents-toolsパッケージ、特にそのhttp_requestツールには、不適切な認可の欠陥があります。CVE-2026-18394として追跡されているこの問題は、認証情報の漏洩につながる可能性があります。オペレーターはHTTP_REQUEST_TOKEN_CONFIGを使用して、認証情報の送信先ホスト名を許可リストに登録します。しかし、http_requestツールは、その入力スキーマにproxiesパラメータを持っていました。大規模言語モデル（LLM）は、細工されたプロンプトを通じてこのパラメータを制御するように騙される可能性があります。これにより、プロキシをアクター制御のエンドポイントに設定することが可能になります。ホスト名の許可リストチェックが通過しても、認証情報はリクエストに添付されたままになります。その後、リクエストは最初のホップでアクターのプロキシを経由してルーティングされます。結果として、認証情報はAuthorizationヘッダー内で平文で開示されます。影響を受けるバージョンは、0.8.2より前のバージョンです。この脆弱性を軽減するために、ユーザーはバージョン0.8.2以降にアップデートする必要があります。詳細については、リンクされた記事で包括的な情報を提供しています。