ローカルエージェントの制御API：認証のないプロキシを経由したホストへのアクセスを防ぐ

概要

2026年10月25日時点の情報である。該当する制御サービスのアドバイザリと導入ドキュメントを再確認すること。確認済みの過去の例がCVE-2025-49596である。0.14.1未満のMCP Inspectorにはクライアントとプロキシ間の認証がなく、認証なしでコマンドを起動できた。アドバイザリは0.14.1を修正済みとしている。これは現在の設計の参考となる2025年の事例であり、2026年に新たに見つかったCVEではない。Inspectorのアドバイザリ。

CWE-306は、呼び出し元の身元を確認せずに重要な機能を公開する問題を分類している。エージェントに当てはめると、サンドボックス自体にはない権限で動作できる補助サービスに到達できることが懸念となる。カーネルの脆弱性がなくても、意図した隔離が損なわれる可能性がある。エージェント設計へのこの適用は設計上の推論であり、引用したインシデントが特定のサンドボックス脱出を実証したと主張するものではない。CWE-306。

重要な理由

ループバックへのバインドはネットワークからの到達範囲を制限するが、ローカルの呼び出し元を識別するものではない。MCPのStreamable HTTP仕様は、受信したOriginヘッダーの検証と、Originが存在し、その値が不正な場合のHTTP 403による拒否を必須とし、localhostへのバインドと認証を推奨している。これらは互いに補完する保護策である。トランスポートのセキュリティ要件。

Inspectorの現在のWebクライアントドキュメントは、Originヘッダーを含まないページ要求もあるため、Host検証についても説明している。バックエンドでは認証トークンを使用し、起動ごとにトークンを生成することが記載されている。したがって、ブラウザーのオリジン確認だけで、ブラウザー以外のクライアントの認証を代替することはできない。Webクライアントのドキュメント。

適用方法

• 実際にコマンドを起動したりファイルを書き込んだりするサービスを一覧化する。ローカルにインストールされたInspectorパッケージでは、インストールディレクトリでnpm ls @modelcontextprotocol/inspector --depth=0を実行する。グローバルインストールは別途調べる。現在のプロジェクトの依存パッケージが稼働中のサービスだと決めつけず、パッケージを実際に使われているランチャーと照合する。npm ls。
• 影響を受けるInspectorバージョンを、0.14.1の修正を含むサポート対象リリースに置き換える。後続のアドバイザリも確認する。この過去の修正は、それ以降のすべてのビルドに無関係な脆弱性がないことを意味しない。
• ローカル専用サービスを意図したループバックインターフェースにバインドし、コンテナーのポート公開、ポート転送、プロキシによって意図せず外部から到達可能になっていないか確認する。ブラウザーからのアクセスに対応するサービスでは、明示的なHostとOriginの許可リストを維持する。
• 特権を使うすべての制御操作を認証する。セッション単位のローカル補助サービスには、有効期間を限定した、個別の予測困難な認証情報を使い、セッション終了時に失効させる。エージェントにその補助サービスの利用を意図的に認可している場合を除き、エージェントが読めるファイル、やり取りの記録、ツール出力に認証情報を含めない。
• 認証とは別に操作を認可する。実行ファイルの選択肢と書き込み可能なルートを制限する。有効なトークンがあるだけで、ホストを無制限に管理できるようにすべきではない。
• 受け入れ確認として、実際の特権操作を呼び出さずに、認証情報がない場合や期限切れの場合、不正なオリジン、想定外のホスト名が拒否されることを検証する。サンドボックスから不要な制御用リスナーに到達できないことを確認する。サービスの設定だけでなく、実環境の転送構成もテストする。

落とし穴

ランダムなポートや「内部ネットワーク」という呼称を認証とみなしてはならない。接続エラーを直すために保護を無効にしてはならない。ホスト側の説明のつかない子プロセスを調査し、サービスとエージェントのログを保全して、不正な実行が確認された場合は信頼できる構成要素から再構築する。補助サービスのトークンを交換しても、ホストにすでに加えられた変更は取り除かれない。