GitHub上5.6万颗星的AI应用，被一把15年前的老钥匙捅穿了。
安全研究员Johann Rehberger上周披露，开源项目lobe-chat存在严重的SQL注入漏洞。这个被开发者热捧的"下一代AI聊天框架"，在认证环节漏掉了一个最基础的参数校验——就像银行金库装了指纹锁，却忘了检查门缝。
漏洞影响范围精确到版本：从v1.79.4到v1.103.3，横跨24个迭代版本。Rehberger在报告中写道：「攻击者无需任何凭证，就能以管理员身份登录，并接管整个数据库。」
这不是什么高级攻击手法。SQL注入在OWASP十大漏洞榜单上盘踞了快20年，防御方案写进每一本入门教材。
lobe-chat的开发者们显然读过教材，却在执行层掉了链子。问题出在NextAuth（第三方认证库）的集成环节——他们信任了外部输入的`callbackUrl`参数，没做白名单校验。攻击者构造一个特殊链接，就能把数据库查询语句嵌进去，让服务器乖乖交出所有用户数据。
Rehberger的复现过程像一份标准教案：准备恶意链接、诱导点击、获取会话令牌、提权至管理员。全程不需要社会工程学技巧，不需要0day漏洞，只需要受害者点一下链接。
开源明星项目的"信任债"
lobe-chat不是无名小卒。5.6万GitHub星标、周下载量超10万次、被多家AI创业公司用作基础架构。它的卖点很精准：一键接入Claude、GPT、Gemini等主流模型，支持多模态对话和插件生态。
项目维护团队响应倒不算慢。Rehberger3月15日提交漏洞，3月17日发布补丁，3月20日公开披露。但修复方案本身暴露了更深的问题：他们只是加了URL白名单，没动底层架构。
「这就像发现门锁坏了，换了一把新锁，却没检查门框有没有裂缝。」Rehberger在后续分析中指出，类似的注入点可能还藏在其他回调接口里。
开源社区的"明星效应"在此刻成了双刃剑。高星标带来高曝光，也带来高信任——很多开发者默认"这么多人用，应该没问题"。lobe-chat的文档里甚至有一章专门讲"企业级安全部署"，却没提到这次漏洞涉及的所有版本。
AI应用的"拼装式"隐患
lobe-chat的技术栈很典型：Next.js做前端，PostgreSQL存数据，Prisma当ORM（对象关系映射）层，NextAuth管认证。每一环都是业界主流选择，拼在一起却出了岔子。
问题出在"拼装"的缝隙里。Prisma本身有防SQL注入的机制，但NextAuth的回调逻辑绕过了这层保护。两个组件单独看都没毛病，接口对接时却产生了攻击面——这叫"组合漏洞"，比单一组件漏洞更难防范。
AI应用的特殊性放大了风险。lobe-chat默认会缓存对话历史、上传的文档、甚至API密钥。一旦被入侵，攻击者拿到的不仅是用户密码，还有大量敏感业务数据。Rehberger在测试环境中演示了完整的数据库导出，包括其他用户的OpenAI API密钥。
更麻烦的是日志盲区。很多AI应用把对话记录存进向量数据库，传统安全审计工具根本读不懂这些嵌入向量。攻击者篡改提示词、注入恶意指令，系统管理员可能完全察觉不到。
修复之后的未解问题
lobe-chat团队目前已将修复版本推送到v1.103.4及以上。但他们的安全公告措辞谨慎：「建议所有用户尽快升级。」——没说"必须"，没说"紧急"，没提具体风险等级。
这种模糊性在开源圈很常见。项目维护者怕吓跑用户，用户则习惯性拖延升级。GitHub依赖分析显示，截至披露一周后，仍有约35%的公开实例运行着漏洞版本。
Rehberger在报告结尾提了一个尖锐的问题：「当一个AI应用同时处理用户数据和模型API密钥时，它的安全边界到底在哪里？」
lobe-chat的架构图里，数据流穿过浏览器、服务器、数据库、第三方模型API，每个箭头都是潜在的泄露点。这次SQL注入只是其中一条路径被证实了，其他路径呢？
项目维护者在讨论区回复了一位用户的担忧：「我们正在评估更全面的输入校验方案。」——没有时间表，没有具体计划。
开源软件的"看星星选人"逻辑，在AI时代遇到了新挑战。星标数量反映的是功能丰富度和营销能力，与安全成熟度没有必然联系。lobe-chat的5.6万颗星里，有多少来自实际部署的生产环境，多少来自随手点的收藏，没人说得清。
Rehberger的GitHub主页签名写着："我破坏AI/ML系统，找CVE编号，然后写下来。"这次他拿到的编号还没公开，但漏洞细节已经足够让使用lobe-chat的团队失眠了。
最后一个值得玩味的细节：lobe-chat的README里有一句宣传语，"为每个人打造的AI聊天框架"——现在需要加一句注释，"建议升级到v1.103.4以上，除非你想让'每个人'都能登录你的后台"。
热门跟贴