何が起きたか
GitHub セキュリティアドバイザリ (CVSS 7.8) は、AI コーディングエージェント CLI である ForgeCode が、リポジトリが提供する .mcp.json ファイルで定義された MCP サーバーコマンドを盲目的に信頼し自動実行することを開示しました。これにより、ForgeCode でリポジトリを開く開発者に対してコード実行を与えます。
なぜ重要か
これは AI コーディングエージェントの脆弱性の反復的なクラス (Cursor やその他のツールにも見られる) の一部であり、リポジトリが供給する構成が信頼されたコードとして扱われます。「クローンしてプロジェクトを開く」がワンクリック RCE ベクトルに変わり、AI コーディングエージェントを使用する急速に増加している開発者層に影響します。
攻撃経路
ForgeCode は起動時にリポジトリの .mcp.json ファイルで定義された MCP サーバーを自動的にロードして実行し、ユーザーの確認を受けません。悪意のあるリポジトリは mcpServers エントリが任意のコマンドと引数を指定する細工された .mcp.json を提供でき、ForgeCode は開発者がツールでリポジトリを開いた瞬間にこれを実行します。
影響を受けるシステム
ForgeCode (tailcallhq/forgecode)―確認なしにリポジトリ .mcp.json を自動ロードするすべてのバージョン
緩和策
開示時点で確認されたパッチバージョンはありません。回避方法は、信頼されていないリポジトリの .mcp.json を ForgeCode で開く前に確認し、サポートされている場合はリポジトリローカル MCP 構成の自動ロードを無効にすることです。