2026-08 CleanSource コミュニティ月次セキュリティインテル要約

T1 MCP / Agent / AI：最初から開いている信頼境界

8 月の CSSA と CVE では、MCP、Agent、AI ランタイム関連の問題が繰り返し出てくる。多くのセキュリティ問題は権限制御に関わり、リスクは既定設定の段階ですでに存在することが多い。

MetaMCP は OAuth 資格情報を越権で読み、上流になりすませる。modelcontextprotocol / python-sdk にはプロンプトインジェクションと SSRF。hermes-agent は一連の問題がある（プロンプトインジェクション、サンドボックス無効、承認回避、ゲートウェイ認可が緩い）。Claude Code は環境変数の未エスケープやコマンド包装の緩さでホストを傷つける。月末も同種のサンプルが続く：ArgoCD MCP の未認可 RCE、cc-connect の Webhook／管理口欠認証＋コマンドインジェクション、ToolUniverse のサンドボックス脱出、ash_ai / lmdeploy といった推論コンポーネントの RCE。注目すべきは単体の MCP Server だけではない。プロトコル、SDK、ゲートウェイ、承認フロー、CI/CD プラグイン、推論サービスが一本の鎖になっている。

T2 fail-open：失敗後も通す

もう一つの状況は、安全制御が失敗したあと、システムはなお通すことだ。CubeSandbox / CubeOps は認証が弱く／無く、管理者トークンを偽造できる。openssl_encrypt（CVE-2026-74901）は AES-GCM 失敗後に認証なし AES-CTR へ落ちる。Apache Superset MCP は例外を握りつぶし、認証が実質消える。hermes-agent では承認タイムアウトや対話モードを、モデルが障害として飛ばせる。レビューでは項目ごとに聞く：復号失敗、認可エラー、承認タイムアウト、サンドボックス未起動——コードはどの分岐へ行く？

T3 SSRF：サーバが URL を代行取得する

今月の SSRF も少なくない。SeaweedFS、Semantica、better-auth、TencentDB-Agent-Memory、sub2api、python-sdk、Adobe Campaign などが関わる。共通点は——サーバがユーザーや Agent の代わりに URL を要求することだ。検査は表面にとどまり、リダイレクトやヘッダ偽造で迂回できる。クロール、プレビュー、プロキシダウンロード、画像取得、Webhook コールバックは設計段階から高リスク面として扱う。CVE の公開を待ってから直さない。

T4 サプライチェーン汚染：スコープ、取り違え名、チェーン上 C2

汚染 212 件のほとんどは npm。繰り返し出る型がある。スコープ付きパッケージのバッチ投入、企業内部名の公網取り違え（たとえば sm-* の EC モジュール、internallib_v*）、@syncraft-labs/* の EtherHiding（Ethereum 取引からデコード実行、C2 はチェーン上、registry 削除では消えない）、高バージョン偽装や反デバッグ。日次の拒否リストだけでは足りず、パターン庫が必要だ：スコープ族、取り違え名、チェーン上ペイロード、私有名衝突。