Reasonix 1.34、サンドボックス化されたMCP Appsを導入し、DNS rebindingとGit filterの実行境界を修正

オープンソースのcoding agentであるReasonix 1.34.0は、MCPの対話を単発のツール呼び出しからマルチターンのフローとデスクトップAppsへ拡張し、Appsが返すインタラクティブコンテンツをサンドボックス内でレンダリングするようになった。これにより、MCP serverはJSON形式のツール結果を提供するだけでなく、デスクトップクライアント上に操作可能なインターフェースを表示できる。エンジニアリングチームにとって、この新しいレンダリング層は同時に新たな信頼境界となるため、コンテンツの隔離、送信元の検証、ツール権限を個別に扱う必要がある。

もう一つの中核的な変更は、`use_capability`の制御である。Reasonixは能力の選択に速度モードと品質モード、並列スケジューリング、review budget、metricsを追加し、prefix cacheを損なわずにツールやサブ能力を割り当てることを目指している。同プロジェクトは、固定された安定的なコンテキストprefixによってDeepSeek系APIのキャッシュコストを削減している。そのため、能力の説明、レビュー内容、ツール結果の配置が頻繁に変わると、キャッシュによる効果が相殺される可能性がある。新版では、これらの制御を能力レイヤーに集約したが、公式にはレイテンシ、tokenコスト、タスク成功率の比較データはまだ公開されていない。

セキュリティ面では、メンテナーによると、`serve`とGitの境界に関する6件の欠陥を一度に修正した。公開された概要には、DNS rebinding、プレビュー機能による境界外読み取り、代理操作中のリポジトリでGit clean filterがトリガーされ実行される問題が含まれている。後者2件は特に注意が必要だ。ワークスペースを単なるデータディレクトリとして扱うだけでは不十分であり、Git attributesやfilter設定もコード実行経路になり得る。カスタムモデルプロバイダーのモデル探索とチャットには、現在、同一のネットワークポリシーが適用される。また、ストリーミングの失敗も表示されるようになり、モデル一覧は取得できるのに実際のチャットには応答がないという、暗黙的な経路分岐は解消された。

互換性については、MCP Streamable HTTPとstateless bridgeの問題を修正し、Go MCP SDKのバージョンを固定した。`/resume`後に作成した新しいセッションで書き込み権限が失われ、500エラーが発生する問題も対処済みである。デプロイ担当者は、既存のMCP server、プロキシ、カスタムproviderを事前に再テストすべきだ。特に、AppsのContent Security Policy、stateless接続の復旧、Git filterの挙動を重点的に確認する必要がある。リリースノートにはCVE、攻撃が実際に悪用された証拠、第三者によるセキュリティ監査の情報は記載されていないため、「欠陥を塞いだ」ことは、関連するすべての攻撃対象領域の検証が完了したことを意味しない。