【AI安全】Apify MCP 令牌外泄:一段路径为何能把 Bearer Token 送到攻击者域名

一、看似只是拼接路径，最终却改写了请求的网络权威域 🔑

AI 时代！人人都在深耕 AI 安全，你缺的就是这关键一步！

AI 正重塑安全边界，与其在门外徘徊，不如直接掌握主动权！

免费课程持续更新

https://space.bilibili.com/452583051/lists/7870008?type=season

CVE-2026-50143 影响 Apify MCP Server 0.10.11 之前版本，公开评分为 CVSS 8.1。漏洞位于 Actor MCP 连接地址的构造过程：系统把可信的 Actor standby URL 与攻击者可控的 webServerMcpPath 拼接，却没有验证最终 URL 仍属于原始站点。🧨 一旦路径被解释成包含 userinfo 的绝对权威，后续 MCP 客户端就可能连接攻击者服务器，并自动附带受害者的 Bearer Token。

这类问题容易被代码审查低估，因为变量名叫“path”，开发者自然假设它只能改变 URL 的路径部分。但 URL 解析器面对 @、双斜杠和 authority 语法时，可能重新解释主机。🔀 安全边界不由变量名决定，而由最终标准化 URL 的 scheme、hostname、port 和 origin 决定。

公告事实	防守含义
受影响版本低于 0.10.11	应盘点实际运行包与容器，而非只看锁文件
攻击需要用户交互	诱导受害者使用恶意 Actor 或配置即可触发
Bearer Token 会随请求发出	后果可从 URL 偏转升级为账户与资源访问
修复校验最终 origin	证明“可信前缀 + 不可信路径”不是安全组合

受影响链路涉及 call-actor、fetch-actor-details 与 actor-mcp 等功能。凭据泄露后，攻击者可能访问受害者可见的 Actors、存储数据或消耗计费算力。📡 风险上限取决于令牌真实权限和有效期，因此响应必须同时处理软件升级与令牌轮换。 只升级组件不会让已经泄露的凭据自动失效。

公告给出 PoC 且技术影响可达到完整泄露，但边界同样重要：利用需要受害者与恶意配置发生交互，并非所有公开实例都能被匿名直接拿下。🔍 资产团队应结合 Actor 来源、近期 MCP 连接目标和令牌使用日志判断是否发生过利用。

二、Authority Injection 的完整链路：可信前缀没能约束最终目的地 🧭

应用先获得可信 standby URL，例如某个 Apify 托管域名，再把 Actor 返回的 MCP 路径追加其后。如果追加逻辑只是字符串拼接，攻击者可以提供会被 URL 解析器重新解释的片段。⚙️ 完整链路为：加载攻击者控制的 Actor 元数据 → 读取恶意 webServerMcpPath → 构造表面带可信前缀的 URL → 解析器把 authority 指向第三方域名 → MCP 客户端携带受害者 Bearer Token 发起连接。

漏洞的本质是“信任在拼接前成立，却没有在解析后重新证明”。 🧩 这与 SSRF 的共同点是最终连接对象失控，但这里的直接高价值资产是认证头：客户端本来就被设计为给 MCP 服务发送令牌，攻击者只需把服务地址改成自己的收集端。

🔒 升级到 0.10.11 或厂商后续版本，并重启实际承载 MCP 的进程。
🔄 轮换可能由受影响客户端使用的 Apify Token，检查旧令牌是否彻底吊销。
🌐 在连接前解析并比较最终 URL 的 origin，拒绝 hostname、scheme 或 port 漂移。
🧾 记录 MCP 实际连接的 SNI、Host、目标 IP 与 Actor 标识，建立允许域基线。
🚫 不让 Bearer Token 自动跟随跨域重定向，凭据绑定到明确受信 origin。

修复策略不能只过滤 @。不同编码、反斜杠、协议相对 URL、百分号编码和解析器差异都可能制造变体。🛡️ 正确做法是使用标准 URL API 解析、标准化，再比较最终 origin；若业务只允许同源路径，就必须强制同源。

还应防止“验证用一个解析器、连接用另一个解析器”。如果两者对边界字符理解不同，校验仍可能与真实请求分叉。🔬 最稳妥的工程方式是生成一次规范化 URL 对象，让验证和连接共享同一结果，并在建立连接时再次核对实际对端。

三、泄露后为什么要同时查数据访问与计费异常 💸

🎯【泄露后为什么要同时查数据访问与计费异常 💸】

这一节真正关键的不是「泄露后为什么要同时查数据访问与计费异常 💸」这个概念本身，而是它背后的判断路径、执行边界和可复用方法。

它怎样落到真实安全团队的工作流里？哪些细节会直接影响 AI 代理的可靠性？

加入 Oxo AI Security 知识星球，可查看本节完整内容，系统掌握「泄露后为什么要同时查数据访问与计费异常 💸」的完整拆解与实战用法。

📚 AI 文献解读：最前沿的 LLM 安全论文深度剖析。

🐛 AI 漏洞情报：第一时间掌握主流大模型的 0-day 漏洞与越狱方式。

🛡 AI 安全体系：从红队攻击到蓝队防御的全方位知识图谱。

🛠 AI 攻防工具：红队专属的自动化测试与扫描工具箱。

🚀立即加入 Oxo AI Security 知识星球，掌握 AI 安全攻防核心能力！