GitHub Agentic Workflows 0.89系、MCP呼び出しの追跡に対応し、ワークフロー認証情報の露出範囲を縮小

GitHubは9月14日、Agentic Workflows（`gh-aw`）0.88.5から0.89.12までの1週間分の変更をまとめた。このGitHub CLI拡張機能は、Markdownで記述されたエージェントワークフローをGitHub Actionsへコンパイルする。今回、運用面で特に価値のある変更は、MCPツールの使用状況と認証情報の境界を監査しやすくしたことだ。

0.89.0の`gh aw logs --json`では、MCPの呼び出しごとにタイムスタンプ、サーバー名、ツール名が記録されるようになった。これまでは、1つのワークフローがリポジトリ、Issue管理システム、外部検索サービスへ同時に接続している場合、集計された使用量だけでは、どのツールが異常なトラフィックを発生させたのかを特定しにくかった。追加されたフィールドにより、SIEM、コスト分析、事後調査でツール単位の追跡記録を構築できる。`--ignore-workflow-runs`では、要求した結果件数を減らすことなく指定した実行を除外できる。`--cached-json`は取得に成功すると古いキャッシュを上書きし、古いデータを分析するリスクを軽減する。

信頼性の面では、カスタムエージェントエンジンによって脅威検出で`config_error`が誤検知され、分析がスキップされる場合があった問題が修正された。組み込みのMCP gatewayは0.4.20へ更新され、GPT-6 Astraのモデルエイリアスと価格カタログの認識にも対応した。その後の0.89.12では、中央スラッシュコマンドルーターのcheckoutに`persist-credentials: false`が設定された。これにより、`GITHUB_TOKEN`がルーティング処理の全期間にわたってローカルのGit設定へ残らなくなり、後続ステップやインジェクションされたコマンドが認証情報を読み取れる範囲が縮小される。

これらの変更が改善するのは可観測性と多層防御であり、MCPツール自体の安全性を保証するものでも、デプロイ担当者に代わって最小権限を設定するものでもない。チームはアップグレード後、固定済みワークフローを再コンパイルし、JSONの利用側が追加フィールドを受け入れられることを確認するとともに、独自構築したルーターが依然としてtokenを手動で永続化していないか点検すべきだ。公式のバージョンポリシーでも、新しいminorバージョンはまずprereleaseとして変動することが説明されているため、本番環境では検証済みバージョンに固定するのが望ましい。