何が起きたか
Googleは2026-07-21にCVE-2026-15829（CVSS 8.6）を公開し、その公式MCPデータベース用ツールボックス内のSQLインジェクションおよびセキュリティ境界バイパスを開示しました。これはモデルコンテキストプロトコル経由でLLMエージェントにデータベースツールを公開します。
なぜ重要か
MCPデータベース用ツールボックスはGoogleの独自に正式に維持されるMCPサーバーでLLMエージェントをBigQueryを含むエンタープライズデータベースに橋渡しします。そのデータセットアクセス制御境界のバイパスは予測ツールへのアクセスを有するいかなるエージェントまたはユーザーもオペレーターが明示的に制限外に保つことを意図したBigQueryテーブルからデータを流出させることができるようにし、企業がAIエージェントにデータツールを公開する際に依存するコアアクセス制御保証を損なわせます。
攻撃経路
プリビルトのBigQuery予測MCPツールはクライアント制御パラメータ（data_col、timestamp_col、id_cols）を生成されたAI.FORECAST SQL文に fmt.Sprintf経由でエスケープされていない内挿します。オペレータ構成の`allowedDatasets`境界は歴史的なデータパラメータのみ検証するため、攻撃者は文字列リテラルフィールドを脱出してマルチステートメントまたはクロスデータセットクエリを注入し、データセットアクセス境界をバイパスして任意のBigQueryテーブルを読み取ることができます。
影響を受けるシステム
googleapis/mcp-toolbox（Google MCP Databases用ツールボックス）、bigquery-forecast プリビルトツール、v1.4.0
緩和策
ベンダーの修正per PR #3324で googleapis/mcp-toolbox のパッチ版にアップデートしてください。デプロイされた任意の bigquery-forecast ツール構成をエスケープされていないパラメータ内挿の監査を実施してください。