AWSは2026年10月22日(米国太平洋夏時間)、Strands Agents SDKで他の利用者の会話履歴にアクセスされる恐れがある脆弱性を公表しました。対象は、エージェントをHTTP経由で呼び出せるA2Aサーバーです。Python版とTypeScript版で修正済みで、AWSは最新版への更新と、更新までの利用者ごとのサーバー分離を案内しています。
認証済みでも、他の利用者の会話にアクセスする恐れ
Strands Agentsは、AIエージェントを構築するためのオープンソースのSDK(ソフトウェア開発キット)です。今回の脆弱性の識別子は「CVE-2026-115419」です。
AWSによると、A2Aサーバーで呼び出し元ごとの会話状態の分離が不十分でした。このため、認証済みのリモートユーザーが、他の利用者の会話履歴にアクセスし得ます。複数のテナントが利用する環境では、他の利用者向けのモデル動作に影響を与える可能性もあります。
認証済みユーザーでも問題が起き得る点が、運用上の確認ポイントです。ログインを求めているかだけでなく、同じA2Aサーバーを複数のユーザーやテナントで共有しているかを確認する必要があります。
修正版は会話状態を分離、完全な回避策はなし
Python版では、multiagent.a2aを含むstrands-agentsの1.43.0未満が対象です。TypeScript版では、@strands-agents/sdkの1.5.0未満が対象です。AWSは、それぞれ1.43.0と1.5.0で修正済みとしています。
修正版では、A2Aのcontext_idごとに会話状態を分離します。AWSは最新版への更新に加え、元のコードを分岐させたフォークや派生コードにも修正を反映するよう推奨しています。独自に手を加えて使っている場合も、確認対象から外さないことが重要です。
影響を受ける版で、問題を完全に解消する回避策はありません。AWSは更新まで、A2Aサーバーを複数のユーザーやテナントに公開しないよう求めています。複数利用者に提供する場合は、ユーザーやテナントごとに別のA2Aサーバーを動かす案内です。これは修正の代わりではなく、更新までの運用上の対応として整理します。
なお、日本での提供は発表には書かれていません。対象確認は、発表に記載されたパッケージ名、版、A2Aサーバーの利用状況を基に進めます。
影響する会社・しない会社
- 影響する: multiagent.a2aを含むPython版strands-agentsの1.43.0未満で、対象のA2Aサーバーを利用している会社です。
- 影響する: TypeScript版@strands-agents/sdkの1.5.0未満で、対象のA2Aサーバーを利用している会社です。複数ユーザーやテナントへの提供状況も確認が必要です。
- 影響しない: 修正版のstrands-agents 1.43.0、または@strands-agents/sdk 1.5.0を使用している環境では、今回の問題は修正済みです。ただし、フォークや派生コードは修正が反映されているか別途確認します。
