一、问题不只是能访问内网，而是会替攻击者携带Authorization

AI 时代！人人都在深耕 AI 安全，你缺的就是这关键一步！

AI 正重塑安全边界，与其在门外徘徊，不如直接掌握主动权！

免费课程持续更新

https://space.bilibili.com/452583051/lists/7870008?type=season

Headroom 0.36.1 之前的 OpenAI 兼容代理接受客户端提供的 x-headroom-base-url。程序确认它看起来是 HTTP 或 HTTPS 地址、拥有合法主机名后，就把请求发往该上游；但旧实现没有拒绝回环地址、RFC1918 私网、链路本地地址与云元数据服务。🌐 CVE-2026-77775 给出的 CVSS 3.1 为 8.6，攻击者无需登录 Headroom 本身，只要能访问代理接口，就能把它变成服务器端请求发起器。🚨

真正危险的组合是：目标由用户决定，凭据却由代理携带。代理不仅返回上游响应，还把原始 Authorization 头继续转发。🔑 攻击者因此可能让 Headroom 访问 127.0.0.1 上的管理接口、容器网络中的内部服务、云环境元数据地址，或者由攻击者控制的主机，从而观察被转发的令牌。单独看“自定义 Base URL”像兼容多模型供应商的便利功能；与服务器网络位置、响应回传和认证头转发叠加后，它就成为一条完整的 SSRF 通道。🧨

边界也要说清楚：披露证明的是服务端代发请求、回传响应与凭据转发，并不意味着每个部署都必然能读取云元数据或攻陷全部内网。⚖️ 实际影响取决于 Headroom 所在网络、出口策略、使用的令牌权限，以及内部服务是否另有认证。但不能因为某个单点目标当前不可达，就把可控上游地址视为安全设计。

二、只验证URL语法，挡不住地址解析之后的真实去向

旧逻辑检查协议和主机名，只能拒绝明显畸形的字符串。一个语法完全合法的 URL 仍可指向 localhost、10.0.0.0/8、169.254.169.254，也可以先解析为公网地址、随后通过 DNS 重绑定落入私网。🧭 因而安全判断必须面对“连接最终会去哪个 IP”，而不只是“用户写了什么域名”。

攻击链可以压缩为五步：攻击者构造恶意 Base URL；Headroom 接受请求；代理继承客户端 Authorization；服务器解析并连接目标；响应再返回攻击者。🔁 如果目标是本机管理端口，攻击者获得的是跨越网络边界的访问；如果目标是攻击者主机，风险变成令牌外带；如果目标响应可控，还可能借错误信息和时延继续探测端口。📡 SSRF 的价值来自代理所在的位置与身份，而不是请求本身有多复杂。

受影响团队可立即排查：🔍

• 检索访问日志中的 x-headroom-base-url，按域名、解析 IP、端口与响应码聚合；
• 重点检查回环、私网、链路本地、非常用端口和短时间大量变换目标；
• 查找 Headroom 进程对云元数据、集群控制面、数据库与内部管理 API 的连接；
• 
  轮换曾经过代理的 API 令牌，尤其是具备高权限或长期有效的密钥；
• 临时在网关剥离客户端自定义 Base URL，并限制进程出口。✅

仅靠黑名单域名并不稳固。攻击者可以使用十进制 IP、IPv6 映射、用户信息段混淆、重定向或 DNS 变化。🧩 处置应同时约束应用层与网络层：应用在每次连接前验证解析结果，网络策略再确保代理无法触达不需要的地址段。

三、安全代理必须把目标授权与凭据授权拆成两道闸门

🎯【安全代理必须把目标授权与凭据授权拆成两道闸门】

这一节真正关键的不是「安全代理必须把目标授权与凭据授权拆成两道闸门」这个概念本身，而是它背后的判断路径、执行边界和可复用方法。

它怎样落到真实安全团队的工作流里？哪些细节会直接影响 AI 代理的可靠性？

加入 Oxo AI Security 知识星球，可查看本节完整内容，系统掌握「安全代理必须把目标授权与凭据授权拆成两道闸门」的完整拆解与实战用法。

📚 AI 文献解读：最前沿的 LLM 安全论文深度剖析。

🐛 AI 漏洞情报：第一时间掌握主流大模型的 0-day 漏洞与越狱方式。

🛡 AI 安全体系：从红队攻击到蓝队防御的全方位知识图谱。

🛠 AI 攻防工具：红队专属的自动化测试与扫描工具箱。

🚀立即加入 Oxo AI Security 知识星球，掌握 AI 安全攻防核心能力！