漏洞总结：AI SDK 中未限制 Provider 响应大小导致的拒绝服务漏洞 漏洞概述 标题：未限制 Provider 响应大小导致的拒绝服务漏洞（DoS） 描述： 包（及其依赖包如 ）在评估后端 AI 提供商返回的完整文本或 JSON 负载时，完全缺乏响应大小限制。恶意提供商或 MCP 服务器可以流式传输无限分块响应，迫使 Node.js 应用直接缓冲不受限制的负载到原生 V8 字符串中。这绕过了典型的网络流控机制，并立即触发 JavaScript 内存溢出致命错误。在多租户应用或允许用户配置自定义端点的管道中，单个恶意负载将崩溃整个后端服务，导致所有活动会话的高影响拒绝服务（DoS）。 影响范围 生态系统：npm 包名： 受影响版本：所有 API 响应处理不直接映射到大小限制器的版本 严重程度：高 CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H 弱点：CWE-400: 不受控资源消耗 修复方案 补丁版本：页面未提供具体补丁版本信息。 建议措施：在 和 等处理函数中，应用 等机制来限制响应大小，防止内存耗尽。 POC 代码 1. 模拟恶意服务器 ( ) 2. 易受攻击的 Node.js 客户端 ( ) 3. 运行命令