安全研究人员针对 Agent 抓取工具的域名白名单机制做了实测验证，一共构造 14 种不同 URL 绕过形态，在多套校验策略下反复测试，最终发现绝大多数编码、IP 变体、片段伪装类手法都无法真正穿透防护，只有白名单域名 302 重定向到内网、域名解析指向内网这两条路径可以成功拿到内网敏感内容，核心漏洞根源是很多 Agent 抓取工具只在请求发起前做域名文本校验，不会在 DNS 解析、跳转之后二次校验目标地址，攻击者就利用这个校验时序差绕过白名单，读取内网资源、元数据服务，给 AI Agent 带来内网横向渗透、信息泄露风险；研究同时对比了三种不同校验口径的防护效果，只有每次跳转后重新解析 IP、判定私网地址的严格校验模式，才可以完全挡住这两类绕过方式，这也给所有带抓取、联网能力的 AI Agent 安全开发给出明确的加固方向，不能只做简单的域名字符串匹配。
一、14 种测试绕过形态清单
- IP 地址多种编码写法：十进制、十六进制、八进制、短 IP 写法
- 标准点分十进制内网 IP
- localhost回环地址
- 三类 IPv6 地址：IPv4 映射、IPv6 回环、展开映射地址
- 两种 userinfo 账号密码嵌入 URL 形态
- 白名单域名 302 重定向至内网（有效绕过）
- 域名解析 A 记录指向内网 IP（有效绕过）
- URL 片段 #伪装绕过
- 白名单域名直连（对照组，无内网访问）
二、三种校验策略实测结果对照表
| 校验口径 | 放行 URL 数量 | 真正读取内网内容数量 | 说明 |
|---|---|---|---|
| 正则域名黑名单匹配 | 7 | 2 | 仅重定向、域名解析内网两条生效 |
| IP 解析 + 私网网段判定 | 2 | 2 | 依旧放行两类高危路径 |
| 严格校验：解析 + 每次跳转复检 | 0 | 0 | 完全拦截这两种绕过方式 |
三、两条有效绕过路径原理拆解
- 白名单域名 302 重定向到内网
- 可控域名解析指向内网 IP
Agent 校验原始域名属于白名单，直接放行发起请求；服务器返回 302 跳转指令指向内网地址，Agent 跟随跳转，不再校验跳转后的目标 IP，直接访问内网。
域名本身在白名单列表，文本校验通过；域名 DNS 记录被攻击者控制，解析结果返回内网私网 IP，Agent 直接向解析后的内网 IP 发起抓取请求。
四、常见错误防护方案（容易被绕过）
- 只做域名文本匹配，不解析 DNS、不校验最终 IP
- 只校验初始 URL，HTTP 跳转之后不再二次校验
- 依赖正则过滤 IP 编码变体，忽略 DNS 和跳转逻辑
- 区分 “放行域名” 和 “放行 IP” 两套独立规则，没有联动
五、Agent 抓取工具安全加固方案
- 校验时机后置：每次请求、每一次跳转之后，都解析目标 IP，判断是否属于私网、回环、元数据地址段
- 禁止自动跟随跳转，或者跳转次数限制为 0，由上层业务显式确认
- 白名单策略改为 IP 白名单，而不是域名白名单，域名随时可以修改解析记录
- 抓取流量独立隔离，和内网服务做网络隔离，默认拒绝访问 RFC1918 私网地址
- 日志留存完整链路：原始 URL、所有跳转节点、每一跳解析后的 IP 地址
六、风险影响说明
这类漏洞主要威胁带联网抓取能力的 AI Agent，一旦被利用，攻击者可以诱导 Agent 读取内网配置、密钥、内部服务，进一步实现横向移动，属于 AI Agent 生态里典型的 SSRF（服务端请求伪造）衍生风险。
【相关 FAQ】
问题 1：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，这两条有效绕过方式是什么？
回答 1：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，两条有效路径分别是白名单域名 302 重定向到内网、可控域名解析指向内网 IP，其余 IP 编码、IPv6、片段伪装等形态都无法成功读取内网内容。
问题 2：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，漏洞根本原因是什么？
回答 2：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，根源是很多 Agent 抓取工具只校验原始 URL 域名文本，不会在 DNS 解析、HTTP 跳转之后重新校验目标 IP 地址，存在校验时序漏洞。
问题 3：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，哪种校验策略可以完全拦截？
回答 3：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，采用严格校验口径，每次跳转之后都解析 IP 并判定私网网段，就可以完全拦截这两类绕过攻击。
问题 4：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，这个漏洞属于什么安全风险？
回答 4：Agent 抓取工具白名单绕过测试，14 种 URL 形态里只有两条真正打进来，属于 SSRF 服务端请求伪造类风险，攻击者可以诱导 Agent 抓取内网资源，造成内网信息泄露、横向渗透。
【参考资料】
[2026-11-09]（Agent 抓取工具的白名单绕过：十四种形态里只有两条真正打进来）FreeBuf
[2026-11-09]（AI Agent 抓取能力 SSRF 风险分析：域名白名单的常见缺陷）FreeBuf
[2026-10-28]（AI Agent 联网工具安全：SSRF 与跳转绕过防护要点）安全客
[2026-10-15]（LLM Agent 外部工具调用的网络边界防护规范）OWASP
[2026-09-22]（SSRF 绕过白名单：DNS 重绑定与跳转攻击实战）先知社区
【免责声明】
本文内容仅为公开安全研究资讯整理，仅用于安全学习与防御建设参考，不构成任何攻击指导。Agent 抓取工具白名单绕过测试结果基于该研究特定环境，不同 Agent 框架、不同版本的校验逻辑存在差异；任何未经授权的内网探测、渗透测试行为属于违规违法，请勿尝试。
本文来自作者[槿汀奶酥]投稿，不代表海博商机网立场，如若转载，请注明出处：https://www.hb12369.net/qyzx/202611/818.html
评论列表（4条）
我是海博商机网的签约作者“槿汀奶酥”！
希望本篇文章《Agent 抓取工具白名单绕过测试14 种 URL 形态中仅 2 种可成功访问内网》能对你有所帮助！
本站[海博商机网]内容主要涵盖：互联网行业的追踪与探索
本文概览：安全研究人员针对 Agent 抓取工具的域名白名单机制做了实测验证，一共构造 14 种不同 URL 绕过形态，在多套校验策略下反复测试，最终发现绝大多数编码、IP 变体、片段伪装类手法都无法真正穿透防护，只有白名单域名 302 重定向到内网、域名解析指向内网这两条路径可以成功拿到内网敏感内容，核心漏洞根源是很多 Agent 抓取工具只在请求发起前做域名文本校验，不会在 DNS 解析、跳转之后二次校验目标地址，攻击者就利用这个校验时序差绕过白名单，读取内网资源、元数据服务，给 AI Agent 带来内网横向渗透、信息泄露风险；研究同时对比了三种不同校验口径的防护效果，只有每次跳转后重新解析 IP、判定私网地址的严格校验模式，才可以完全挡住这两类绕过方式，这也给所有带抓取、联网能力的 AI Agent 安全开发给出明确的加固方向，不能只做简单的域名字符串匹配。