AI 安全
knowns、8件の脆弱性を一挙公開：0.30.0で管理インターフェースを修正、最新版にもSSRFが残存
AIプロジェクト向けメモリーツール knowns の新たなセキュリティ記録により、旧バージョンでは認証のない管理APIがデフォルトですべてのネットワークインターフェースにバインドされ、パストラバーサル、コマンドインジェクション、MCP権限回避も存在していたことが判明した。大半は0.30.0で修正されたが、0.33.0のモデルテストエンドポイントは依然として任意のアドレスにリクエストを送信でき、現時点でインストール可能な修正版は確認されていない。
AIネイティブ開発向けメモリーレイヤーの knowns について、9月8日に8件のセキュリティアドバイザリが一斉に公開された。明らかになったのはモデルに対するプロンプト攻撃ではなく、エージェント周辺サービスにおける従来型の信頼境界の破綻だ。最も深刻な CVE-2026-86543 は、CVSS 4.0で9.3と評価されている。0.30.0より前の新規インストールでは、管理APIがデフォルトですべてのインターフェースをリッスンし、パスワードも要求しなかった。攻撃者は `/api/tunnel/start` を呼び出して公開トンネルを作成し、本来はローカル利用専用で、ソースコードやプロジェクト知識を保持するサービスをインターネット上に再公開できた。
同時に公表された問題には、テンプレート、ドキュメント、メモリーツールにおけるパストラバーサル、設定ファイルでLSP実行ファイルを指定できることによるコマンドインジェクション、`code.replace` の不十分な権限チェックも含まれる。プロジェクトは実際には8月16日に0.30.0をリリースし、パスのcontainment、コード変更用guard、ブラウザーインターフェースの認証、外部接続の制限を導入していた。しかし、完全なCVE記録が公開データベースに登録されたのは今週になってからであり、npmやpipのパッケージ一覧のみをスキャンするデプロイフローでは、警告を適時に受け取れなかった可能性がある。
さらに厄介なのが CVE-2026-86539 だ。0.33.0の `POST /api/embedding-models/test` は、依然として呼び出し元が指定した宛先を受け入れ、代理で接続する。返される通信エラーを利用すれば、内部ネットワーク上のホストやクラウドのmetadata endpointを探索できる。アドバイザリにはリリース済みの修正版が記載されておらず、プロジェクトのリリースノートと新たな脆弱性データの間でも、SSRFの修正範囲が完全には一致していない。
エンジニアリングチームは少なくとも0.33.0へアップグレードし、サービスがloopbackまたは管理された管理ネットワークのみにバインドされていることを確認するとともに、ファイアウォールでmetadata IPと不要な東西・外向きトラフィックを遮断すべきだ。旧インスタンスが信頼できないネットワークに公開されていた場合は、トンネル、LSP、ファイル変更のログも調査し、metadata serviceを通じて漏えいした可能性のある認証情報をローテーションする必要がある。次に注視すべきなのは、プロジェクトが CVE-2026-86539 を明示的に対象とするバージョンを公開するかどうかであり、advisoryページの「patched version」欄だけに依存してはならない。