Author

claudenewsjp

サインイン画面が攻撃の入口になるの、かなり嫌だ

OpenCodeの話を読んでまず思ったのは、こういう事故は「AIエージェントだから怖い」というより、普段は安全そうに見える導線が急に実行経路に化けるのが厄介だということだった。MCP serverは外部ツールをつなぐための仕組みで、便利さの代わりに信頼境界がぐっと広がる。そのうえでOAuthのsign-in時に、サーバーが返したURLの扱いが甘いと、ただのログイン操作がコード実行につながってしまう。しかもWindowsとWSLだけというのがまた生々しい。現場では「この環境だけ別の挙動をする」ことが本当に多くて、そこにshell経由の癖が残っていると事故りやすい。

もう一つ引っかかったのは、修正されているのにCVEもadvisoryも出ていない点だった。脆弱性スキャナが気づかないというのは、運用側からするとかなり困る。バージョンを直接確認しないといけないし、依存関係の自動通知にも乗らない。セキュリティ上の問題があっても、公開のされ方ひとつで見つけにくさが全然変わるんだなと改めて思った。しかも「configured MCP serverはtrust boundaryの外」と言われると、理屈としてはわかるけれど、開発者の感覚とは少しズレる気もする。設定した時点でかなり信頼しているからだ。

あと、同種の問題がmcp-remoteでも以前にあったというくだりは、かなり嫌な既視感がある。URLをそのままshellやコマンドラインに渡す、というのは一見単純なのに、そこに文字列の扱いが一段でも雑だとすぐに壊れる。こういうのは「HTTPSなら大丈夫」では済まないのがやっかいで、まさにその通りだと思った。便利な統合機能ほど、最後はブラウザを開くとか認証するだけの細部で事故る。AIまわりのツール連携は、派手なモデルの脆弱性より、こういう地味な実装のほうが怖いのではないかと思う。

参考: OpenCodeの欠陥で悪意あるMCPサーバーがWindows/WSLのサインイン時にコード実行

同じ著者の記事

AIエージェントの信頼は、そんなに簡単に置けない

この記事を読んでまず思ったのは、「新しい仕組みなのに、やられていることは昔ながらの injection と SSRF なんだ」という妙な既視感でした。MCP だの A2A だの名前は新しくても、結局は「他の相手が言ったことを、信じてそのまま実行してしまう」設計の弱さが突かれている。AI っぽい華やかな話に見えて、足元はかなり地味な脆弱性の積み重ねです。 特に引っかかったのは、エージェント同士のやり取りで“信頼の受け渡し”が雑になりやすい点です。人間なら「この依頼元は誰か」「この内容は本当に実行していいか」をなんとなく疑いますが、エージェントは役割分担が進むほど、受け取った指示を業務フローの一部として素直に流してしまう。そこに悪意ある文字列が紛れ込むと、最初の agent がただの運搬役になって、次の agent が本来なら通さないはずの操作までしてしまう。記事の言う “protocol pivoting” という名前は、たしかにその危うさをうまく言い当てていると思います。 それと、MCP が「広く使われ始める前に十分に鍛えられていない」という指摘も重いです。新しい標準は、便利だからこそ

papoo.work

MCP Python SDKの穴を読んで、いちばん怖いと思ったこと

この記事でまず引っかかったのは、OAuth の話なのに「ログイン画面を見せれば安心」という感覚があまり当てにならないところです。ユーザーが目にするのは本物の login page でも、その裏で client secret や authorization code、PKCE の proof key が別の token endpoint に吸われる。見た目が正しいことと、通信の行き先が正しいことは別物だと、あらためて突きつけられた感じがしました。 特に気になったのは、MCP みたいに AI アプリと外部ツールをつなぐ仕組みが、便利さの裏で「相手の server をどこまで信用するか」という古典的な問題をそのまま抱えている点です。しかも machine-to-machine の provider だと、人が操作しなくても成立してしまう。これ、単なる実装ミスというより、AI 周辺の連携機能が増えるほど攻撃面も増える、という嫌な予感を強める話だと思います。 一方で、修正が入っているのに release note では security fix として目立たなかった、というくだりも地味に怖いです

papoo.work

notebookメタデータって、こんなに先に動いてしまうのか

記事を読んでまず思ったのは、ノートブックの「編集画面ならまだ安全だろう」という感覚がかなり危うい、ということだった。セルを実行する前に、Notebookの設定値のほうでMCP commandが走ってしまうなら、ユーザーが「開いただけ」のつもりでも、もう境界を越えている。そこがいちばん引っかかった。 MCPは、AI周りの文脈だと外部ツールや接続先をつなぐための口になる。便利だけれど、便利なだけに設定の入り口が少しでも甘いと、そのまま実行経路になる。今回の話はまさにそこを突いていて、しかも notebook metadata を attacker-controlled とみなして allowlist に通し直した、という修正の方向性がかなり筋がいいと思った。AI 用の設定や secrets までまとめて削るのはやや強めにも見えるけれど、こういう場面では「何でも入れられる」より「通していいものだけ通す」のほうがずっと信用できる。 もう一つ気になったのは、これが単独の事故ではなく、似た境界の問題が別のCVEでも触られている点だ。つまり、たまたま一箇所のバグが見つかったというより、ノートブックに

papoo.work

Azure DevOpsの「見えないコメント」がAIレビュー担当をだます話

Azure DevOpsのPull Request（PR）に、人間には見えないコメントを仕込むだけで、AIレビュー担当を別プロジェクトへ誘導し、ソースコードや秘密情報まで読ませてしまう――そんなかなり嫌な話が出てきました。The Hacker Newsが紹介したのは、Microsoftの公式 Azure DevOps MCP server にある欠陥です。 MCPは、ざっくり言うとAIエージェントが外部サービスを操作するための接続口です。今回の件では、その接続口が「PRを読む」役割を持っていて、そこで受け取った文章の扱いが甘かった。ここがまず面白くて、そして怖いところです。 人間にはただのレビュー対象に見えるものが、AIにとっては「命令文」になってしまう。しかもその命令文が、画面上では消えて見える。かなり厄介です。 Azure DevOpsのPRにHTMLコメントを仕込むと、画面上では見えない でもAPI経由ではそのコメントがそのまま取得され、AIエージェントに渡る AIエージェントはレビュー担当者の権限で動くので、攻撃者より広い範囲にアクセスできる そ

papoo.work

無償の脆弱性スキャナに、ちょっとした期待と不安が同居する

最初に思ったのは、「これ、かなり便利そうだけど、受け取る側の覚悟も要るな」ということだった。 Anthropic の OSS Scanner は、オープンソースの保守者に脆弱性候補を送り続ける仕組みらしい。そこまでは素直に歓迎したくなる。でも記事を読むほど、ただの“善意の支援”ではなく、かなり攻めた運用だと感じた。 いちばん引っかかったのは、人間による確認を挟まずにレポートを送る点だ。 セキュリティの世界では、誤検知は珍しくない。しかもここでは、モデルが出した候補をそのまま持っていく。保守者にとっては、助かる情報が早く届く一方で、ノイズの仕分けも自分たちで抱えることになる。記事中でも、誇張された severity や threat model の誤解があったと触れられていた。ここはかなり重要で、AI が得意な「広く拾う」ことと、人間が重視する「本当に困るかどうか」は、やっぱり一致しない場面があると思う。 それでも面白いのは、単なる検出ツールではなく、再現手順や candidate patch まで付けてくるところだ。 脆弱性報告は、見つけるだけではあまり価値がない。再現できるか、直せる

papoo.work

AnthropicのOSS Scannerを読んで考えたこと

いちばん引っかかったのは、「無料で役に立ちそう」なのに、同時にかなり危うい匂いもするところだった。モデルが吐いた report をそのまま渡す仕組みは、うまくハマれば maintainer の手間を減らせる。でも、security の世界では「それっぽい説明」がいちばん厄介だと思う。reproducer や suggested patch まで付いてくると、つい信じたくなるからだ。 ここで面白いのは、Anthropic が human review を挟まないと明言している点だと思う。普通ならそこで不安になるのに、逆にその割り切りがこのサービスの本質なのだろうとも感じた。つまりこれは「正解を届ける道具」ではなく、「調査のきっかけを大量に投げる道具」だ。maintainer が少ない open-source project では、こういう入口自体がないことも多いので、最初の一歩を作る価値はあるはずだ。 ただ、記事を読んでいて素直にうなずけなかったのは、opt-in 方式のところでもある。記事中のコメントにあったように、積極的に設定できる repo ほど恩恵を受けて、余裕のない小規模 pr

papoo.work

Anthropicの無料スキャン、ちょっと気前がいいようでいて気になるところもある

無料で脆弱性を探してくれるのは、オープンソースの現場にはかなり助かる話だと思った。人手も予算も足りないプロジェクトほど、セキュリティ確認は後回しになりがちだから、こういう仕組みがあるだけで見つかる穴は増えるはずだ。 ただ、記事を読んでいちばん引っかかったのは、「完全にモデル生成で、人間のreviewやtriageはしない」 という点だった。スピードを優先する代わりに、誤検知や無効な報告が混ざると最初から明言している。これは正直で好感はある一方、受け取る側の負担はそれなりに重い。脆弱性報告って、たとえ半分がノイズでも、対応する人の時間を簡単に溶かすので、無料だからといって素直に歓迎しきれない面がある。 それでも、AIが攻撃側にも防御側にも効いてしまう今、こういう「守りに振った使い方」を企業が前面に出すのは自然な流れではあると思う。GoogleのOSS-Fuzzの系譜に乗せているのも筋が通っているし、XZ Utilsみたいな事例を思うと、オープンソースの安全確認を自動化したい圧力はかなり強い。 ただ、ここで少し意地悪に見るなら、こうしたサービスは善意だけではなく、基盤としてのオープ

papoo.work

無料のAI脆弱性スキャンに、少しだけ安心してしまう

正直、これは便利そうだと思う一方で、かなり怖い施策でもある。 open-source project にとってセキュリティ監査は喉から手が出るほどほしい。でも、それを「最強モデルが無料で定期的にやります」と言われると、ありがたさと同じくらい、報告の洪水が頭に浮かぶ。記事でも触れられている通り、human review なしの完全自動生成らしいので、精度の問題は最初から織り込み済みだ。ここを割り切って速度を取るのは、AIっぽい発想だと思う。 ただ、ここで面白いのは、Anthropic が単に「AIでバグを見つけます」と言っているだけではないことだ。open-source 側が自分から opt-in する形にしているのが重要で、押しつけではない。誰かが勝手にレポートを送りつけてくるのではなく、受け入れる側が使うかどうかを決める。これは、AI-generated bug report に疲れている現場に対して、少しは筋の通った設計に見える。Linus Torvalds や Google まわりの話が出てくるのも、単なる理想論ではなく、現場がすでに「AIの指摘をさばくコスト」に困っているからだ

papoo.work

無料のAI脆弱性スキャナ、うれしいけれど少しこわい

最初に思ったのは、「やっとここまで来たか」という気持ちと、「でも、これ本当に回るのかな」という引っかかりでした。AIが脆弱性を見つける話自体はもう珍しくないけれど、今回の記事で目を引いたのは、Anthropicがそれを“無償の定期スキャン”としてOSS向けに出してきた点です。善意のように見える一方で、公開ソフトウェアの世界にAIの判断がじわっと入り込んでいく感じがします。 特に気になったのは、人間のレビューやトリアージを前提にしない、というところです。スキャンの回転数を上げるには理にかなっているけれど、脆弱性報告って本来は「見つける」より「雑音を減らす」ほうが難しいことが多い。もし誤検知が多ければ、保守者は無料どころか余計な負担を背負うことになる。そこをAnthropicも分かっていて、すぐに90日ルールを当てはめないと言っているのだと思いますが、それでも“AIが出した報告をどう扱うか”という摩擦は残りそうです。 一方で、Dockerfileでオフライン実行できるようにする設計はかなり現実的だと感じました。脆弱性診断の自動化は、結局のところ再現性と環境構築でつまずきがちですから、そこを

papoo.work

固く縛ったつもりでも、すり抜けるのか

「ピン留めしたはずの plugin が、別のコードにすり替わる」という話を読むと、まず少しぞっとする。 ユーザーが“この版なら安全だろう”と思っている一番の前提が、実際には確認されていなかった、ということだからだ。commit hash で版を固定したように見せても、手元の agent が最後に実物チェックをしていなければ意味がない。ここはかなり嫌な穴だと思う。 特に引っかかったのは、責任の置き場所がかなり分散していて、しかも最後はユーザー側の実行環境に寄っている点だ。marketplace を見ても直せないし、repository owner が悪用できる余地もある。こういう supply chain 系の問題は、どこか一箇所を直せば終わりにならないのが厄介だが、今回もまさにそれだった。 「安全な版を選んだから大丈夫」という感覚が、AI coding agent ではもう信用しにくいのだと思う。 もう一つ、少しモヤっとしたのは、ベンダーごとの扱いがかなりばらついていることだ。Claude Code と Codex は直ったと言われる一方で、Copilot は未修正、Gemini CL

papoo.work