Hermes Agentコミュニティ、MCPトークン更新のタイミングに不備を報告　アイドル状態のゲートウェイで再ログインが必要になる可能性

Hermes Agentコミュニティは10月19日、MCPのOAuth接続に関する問題を報告した。リモートサービスが発行するアクセストークンとローテーション型リフレッシュトークンが同時に期限切れになる場合、クライアントがアクセストークンの期限切れを待ってから更新すると、更新の認可に必要なトークンも失効している可能性がある。無人運用のエージェントゲートウェイでは、次のツール呼び出しで自動復旧できず、対話型ログインをやり直す必要が生じることがある。これは新たに公開された不具合報告で、添付された実際のログは10月16日のものだ。問題報告

報告者は、LinuxホストからHostingerがホストするMCPサービスに接続した際、両方のトークンの有効期間が3,600秒であることを確認した。ログによると、更新が一度成功した後、次の更新試行は60分4秒後に行われ、エンドポイントはHTTP 400を返し、その後、ブラウザーでの認可を求めるエラーが発生した。再現条件は、接続をアイドル状態のまま期限切れまで放置し、その後、キープアライブ信号またはツール要求によって遅延した更新を発生させることだ。この報告だけから、すべてのMCPサービスが影響を受けるとは推定できない。報告と再現条件

公式ドキュメントによると、HermesはHTTP MCPサービスにOAuth認可フローを使用し、トークンを保存してセッションをまたいで再利用する。通常は自動的に更新し、更新に失敗した場合に再認可を求める。したがって、この報告が明らかにしたエンジニアリング上の課題は更新スケジュールにある。認証情報が永続化されていても、長時間トラフィックのない接続では有効期限を過ぎてしまう可能性がある。リモートツールに依存するバックグラウンドエージェントでは、ログインに成功した後も、トークンの有効期限をまたいで利用可能かを検証する必要がある。MCP設定ドキュメント

修正案では、リクエスト時だけでなくアイドル期間中も期限前に更新しつつ、プロセス間でのトークンローテーションの調整を維持し、切断時または終了時には更新処理をキャンセルするとしている。報告者によれば、ローカルではMCP関連の903件のテストに合格したが、上流のワークフローはまだメンテナーの承認待ちであり、正式な検証済みとは見なせない。今後、エンジニアリングチームは修正案がマージされるか、リリース版がいつ公開されるか、また期限前更新がローテーション時の競合や一時的なネットワーク障害にも対処できるかを確認する必要がある。現時点で公開されている根拠は、主に単一の報告とそれに付随するテスト説明に限られる。修正案と検証状況