SSRF
SSRF是一类Web安全漏洞，攻击者通过控制服务器发出的请求地址，让服务器代为访问内网资源或敏感接口，被OWASP Top 10 2021单独列为A10类漏洞
核心事实
时间轴 (近 90 天)
SSRF的核心防御不是简单黑名单，而是对协议、主机、端口和路径做白名单式的规范化校验，并把文件读取限制在预设目录内。
LSCBench 中按漏洞家族统计，内存安全的合并功能+安全通过率最高为 44%，注入类为 28%，SSRF 仅 3%，信息暴露仅 1%。
在 LSCBench 的 Go 语言 LocalAI SSRF 任务中，GPT-5.6-Sol 的 GetURI 会读取传入的任何路径，包括 file:// URL；参考修复将读取限制在模型目录内，但没有模型做到这一点。
具有路径遍历的文件读取工具、没有目标过滤的URL抓取工具（SSRF载体）和没有允许列表的Shell执行工具（任意代码执行）都是间接提示注入的可利用项。
防御SSRF的常见做法包括：解析目标域名得到IP后判断是否落在私有地址段、链路本地地址、回环地址等受限范围内；限制协议仅允许http/https；每次重定向后重新执行校验。
MCP服务器在构建出站请求时直接使用Agent提供的地址，未验证该地址实际解析到哪里，攻击者可借此让服务器访问内部网络、云元数据接口或其他敏感资源。
单个被攻陷的MCP服务器可以执行提示注入、凭证外泄、投放钓鱼工具包指纹、泄露PII、通过OAuth窃取令牌以及发起SSRF攻击。
运行时代理防火墙的SSRF防护包括阻断内部URL（如localhost、169.254.169.254、10.x、192.168.x）、验证重定向链（最多3跳、禁止协议降级）、阻止DNS重绑定，并通过深度文档校验提取和验证嵌入式URL。
若LLM输出在未编码情况下被渲染或执行，会引发XSS（渲染为HTML/Markdown时）、SQL注入（拼接数据库查询时）、SSRF（包含后端抓取的URL时）
mcp-server-fetch 默认拒绝私有地址、回环地址和元数据地址，作为 SSRF 防护措施
还有 16 条时间轴事件
全部知识事实 (20)
SSRF是一类Web安全漏洞，攻击者通过操纵服务器端应用程序向非预期的内部或外部地址发起HTTP请求
75%已验证SQL注入、XSS、SSRF等漏洞长期占据OWASP十大安全风险榜单
75%待验证SSRF的核心防御不是简单黑名单，而是对协议、主机、端口和路径做白名单式的规范化校验，并把文件读取限制在预设目录内。
50%待验证在 LSCBench 的 Go 语言 LocalAI SSRF 任务中，GPT-5.6-Sol 的 GetURI 会读取传入的任何路径，包括 file:// URL；参考修复将读取限制在模型目录内，但没有模型做到这一点。
50%待验证LSCBench 中按漏洞家族统计，内存安全的合并功能+安全通过率最高为 44%，注入类为 28%，SSRF 仅 3%，信息暴露仅 1%。
50%待验证具有路径遍历的文件读取工具、没有目标过滤的URL抓取工具（SSRF载体）和没有允许列表的Shell执行工具（任意代码执行）都是间接提示注入的可利用项。
50%待验证MCP服务器在构建出站请求时直接使用Agent提供的地址，未验证该地址实际解析到哪里，攻击者可借此让服务器访问内部网络、云元数据接口或其他敏感资源。
50%待验证防御SSRF的常见做法包括：解析目标域名得到IP后判断是否落在私有地址段、链路本地地址、回环地址等受限范围内；限制协议仅允许http/https；每次重定向后重新执行校验。
50%待验证单个被攻陷的MCP服务器可以执行提示注入、凭证外泄、投放钓鱼工具包指纹、泄露PII、通过OAuth窃取令牌以及发起SSRF攻击。
50%待验证运行时代理防火墙的SSRF防护包括阻断内部URL（如localhost、169.254.169.254、10.x、192.168.x）、验证重定向链（最多3跳、禁止协议降级）、阻止DNS重绑定，并通过深度文档校验提取和验证嵌入式URL。
50%待验证若LLM输出在未编码情况下被渲染或执行，会引发XSS（渲染为HTML/Markdown时）、SQL注入（拼接数据库查询时）、SSRF（包含后端抓取的URL时）
50%待验证mcp-server-fetch 默认拒绝私有地址、回环地址和元数据地址，作为 SSRF 防护措施
50%待验证将私有地址和元数据地址列入默认拒绝名单是防御 SSRF 攻击最基础最关键的一步，开发者实现具有网络访问能力的 MCP 工具时应优先参照
50%待验证智能体浏览器自动化场景中存在SSRF变体威胁，可通过提示注入诱导智能体访问如169.254.169.254等内网地址
50%待验证将 SSRF 校验下沉到 langchain-core 核心层，所有依赖该核心库的上层应用都能自动获得防护，无需各自重复实现
50%待验证IPv6 提供多种等价写法表示同一地址，例如 127.0.0.1 可写作 ::1、::ffff:127.0.0.1 或完整展开式，若防护逻辑只匹配字符串黑名单而未规范化解析则可被绕过
50%待验证langchain-core 1.6.8 相较 1.6.7 的核心改动是通过 PR #41151 加固了作用域（scoped）与兼容性（compatible）IPv6 地址的 SSRF 检查
50%待验证在 LangChain 等 AI 应用框架中，文档加载器、网页抓取工具以及允许 LLM 自主调用 URL 的 Agent 工具链都是潜在的 SSRF 入口
50%待验证传统 Web 应用中 SSRF 的典型利用方式包括访问 AWS EC2 元数据服务地址 169.254.169.254 窃取云实例临时凭证
50%待验证SSRF漏洞在OWASP Top 10 2021版中被单独列为一类（A10）
50%