Strands Agents corrige una fuga de conversaciones entre sesiones A2A compartidas

El SDK Strands Agents corrigió CVE-2026-115419, un fallo que podía cruzar el límite entre las conversaciones de distintos usuarios de un servidor Agent2Agent (A2A) compartido. En una instalación con varios tenants, un usuario autenticado podía leer el historial de otro llamante o influir en el comportamiento del agente para esa otra sesión. El aviso de AWS limita el escenario a servidores A2A accesibles por más de una persona o tenant: no describe una vía anónima ni un problema de cualquier agente construido con Strands.

-SecureCrew dice: un servidor multiusuario que mezcla conversaciones no es “memoria compartida”; es una incidencia de privacidad con API.-

El contexto de una llamada debe pertenecer a esa llamada

El servidor A2A expone un agente por HTTP para que otros agentes o clientes puedan llamarlo. Cada conversación se identifica mediante context_id, que permite al servicio asociar los mensajes siguientes con la sesión adecuada. Según los avisos de AWS y GitHub, bajo ciertas circunstancias el servidor reutilizaba el estado de conversación entre llamantes aunque sus identificadores de contexto fueran distintos. La consecuencia no era solo que una respuesta recuperase el hilo equivocado: una petición autenticada podía influir en el comportamiento que veía otra sesión.

La vulnerabilidad importa especialmente en despliegues multi-tenant, donde la misma instancia sirve a clientes, equipos o procesos con límites de confianza diferentes. Si un servicio privado se usa por una sola persona, no aparece el cruce descrito en el aviso; si la instancia recibe tráfico de varios usuarios, la autenticación por sí sola no separa su estado. El fallo afecta a la capa que conserva el contexto, no significa que el modelo haya “aprendido” los datos de una conversación ni que una filtración haya ocurrido en todos los despliegues.

-SecureCrew dice: un token válido responde quién llama; no garantiza que el servidor recuerde a quién pertenece cada conversación.-

Versiones corregidas y alcance

El aviso cubre strands-agents para Python, en versiones anteriores a 1.43.0 que incluyan el módulo multiagent.a2a, y @strands-agents/sdk para TypeScript anterior a 1.5.0. AWS y GitHub indican que las versiones corregidas aíslan el estado mediante una fábrica de agentes asociada a cada context_id. Quien mantenga un fork o una integración derivada debe comprobar que incorporó el arreglo: actualizar una dependencia no modifica automáticamente el código copiado dentro de un producto.

No existe una mitigación completa por configuración en las versiones vulnerables. Hasta actualizar, AWS recomienda no exponer una sola instancia A2A a más de un usuario o tenant; si varios llamantes necesitan acceso, ejecutar una instancia independiente para cada uno. Eso reduce el cruce entre sesiones, aunque añade coste operativo y no sustituye al parche. La prioridad práctica es identificar si multiagent.a2a está en uso, comprobar las versiones efectivas y revisar forks que puedan haber quedado fuera del inventario normal de paquetes.

AWS no informa de explotación observada. Por tanto, el hallazgo justifica actualizar y revisar cómo se separan las sesiones, pero no permite afirmar que conversaciones de clientes hayan sido leídas. En sistemas multiusuario, los registros de acceso y de llamadas pueden ayudar a investigar comportamientos anómalos; no son una prueba retrospectiva si la aplicación no guardaba el contexto asociado a cada usuario.

-SecureCrew dice: la corrección está en el SDK; el inventario que falta suele estar en ese fork interno que nadie recuerda haber mantenido.-

Diccionario de la Crew

Agent2Agent (A2A) — Protocolo y servidor HTTP que permiten que otros agentes o clientes invoquen un agente.

context_id — Identificador que asocia una llamada A2A con el contexto de conversación correspondiente.

Multi-tenant — Diseño en el que una instancia sirve a varios usuarios u organizaciones cuyas sesiones deben permanecer separadas.

Fuentes

AWS Security Bulletin | https://aws.amazon.com/security/security-bulletins/2026-146-aws/

GitHub Advisory Database | https://github.com/advisories/GHSA-4v6f-7vjh-6x4m