2026-08 CleanSource コミュニティ月次セキュリティインテル要約

T1MCP / Agent：実装の認証漏れからプロトコル／SDK の信頼境界へ

8月の CSSA は、単一実装の設定ミスではなく、既定で開いた信頼境界がプロトコル・SDK・ゲートウェイ・承認 UX にまたがることを示しています。

MetaMCP による OAuth 資格情報の越権、modelcontextprotocol / python-sdk のプロンプト注入と SSRF、hermes-agent の多発（プロンプト注入・サンドボックス無効・承認回避・ゲートウェイ認可欠陥）、Claude Code の環境変数未エスケープによるコマンド注入などが代表例です。従来 CVE のみの取り込みでは体系的に漏れます。

T2fail-open：失敗経路に fail-safe がない

共通パターンは失敗時に制御が許可側へ倒れることです。CubeSandbox / CubeOps の弱認証、openssl_encrypt（CVE-2026-74901）の GCM 失敗後 CTR フォールバック、Superset MCP の例外握りつぶし、hermes-agent の承認タイムアウト回避など。復号・認証・承認・サンドボックス初期化の失敗着地点を設計レビューで明示してください。

T3SSRF 群：サーバー代行取得が定番攻撃面に

SeaweedFS、Semantica、better-auth、TencentDB-Agent-Memory、sub2api、python-sdk、Adobe Campaign などで SSRF が密集。ユーザー／Agent の代わりに URL を取る機能が共通し、検証が表層的かリダイレクト／ヘッダ偽造で迂回されます。クロール／プレビュー／プロキシ取得／画像取得／Webhook 起源は既定で高リスクです。

T4サプライチェーン汚染：スコープ付き・依存取り違え・チェーン上 C2

汚染 166 件の大半は npm。スコープ付きパッケージのバッチ、私有名の依存取り違え（sm-*、internallib_v*）、@syncraft-labs/* の EtherHiding（チェーン上 C2 で registry 削除が効かない）に注意。日次ブラックリストだけでなくパターンライブラリが必要です。