漏洞概述 标题：敏感数据泄露（API Token泄漏）- Task Detail端点因缺少掩码处理 核心问题：Task Detail API端点（ ）未对任务创建时提供的敏感API Token进行掩码处理。结合默认的 任务配置和认证中间件中缺乏真实身份验证，任何外部未认证用户都可获取其他用户的任务详情并提取明文AI模型API Token。 根因： 默认为 未调用 函数，直接返回明文token 仅检查任意 HTTP头，无加密验证或会话检查（CWE-287） --- 影响范围 影响描述：任何未认证攻击者可提取其他用户或平台的高价值AI模型API凭证，可能导致token盗窃造成的严重财务损失、配额未授权使用，以及用户密钥复用导致的跨平台入侵。 --- POC代码 步骤1：启动目标AI-Infra-Guard服务（端口8088） 步骤2：作为受害用户提交带敏感API Token的任务 步骤3：从创建响应中提取 （如： ） 步骤4：作为外部未认证攻击者，使用 获取任务详情 --- 修复方案 当前状态：暂无已修复版本 建议修复措施： 1. 在 中调用 对返回的token进行掩码处理 2. 修复 ，实施正确的加密验证和会话检查 3. 将 默认改为 ，或增加显式授权检查 4. 对数据库中存储的 进行加密或掩码处理