agent-router：MCP 会话恢复未校验内嵌的防劫持主体，Helm 默认种子使会话 ID 可伪造
agent-router: MCP session resume does not verify the embedded anti-hijacking subject; default Helm seed makes session IDs forgeable
AI 导读
Envoy AI Gateway 的 agent-router 被披露会话劫持漏洞，MCP 会话恢复路径不校验会话 ID 中嵌入的调用者主体，任何拿到会话 ID 的客户端都能以该用户身份恢复会话并调用后端 MCP 服务器。受影响版本为 0.4.0-rc1 至 1.2.0-rc1 之前，已在 1.2.0-rc1 修复。公告指出，官方 Helm chart 默认使用公开的固定种子 default-insecure-seed，攻击者据此可解密或伪造会话 ID；建议在 sessionFromID 中传入当前请求主体并比对，不匹配时返回 401/403，并将默认种子改为每次安装随机生成。公告的复现为代码级，未在真实集群上运行。
推荐理由
公告披露 MCP 会话恢复未校验会话 ID 内嵌的用户主体，叠加 Helm 默认种子可预测，多租户 AI 网关部署可据此排查同类会话劫持风险。