何が起きたか
VulnCheckは（2026-10-19）、0.13.0より前のCognitionがデフォルトでエージェントサンドボックスバックエンドをローカル実行に設定し、そのREST/SSE APIに認証を一切搭載していないことを公開しました。未認証の攻撃者はセッションを作成してメッセージを投稿でき、エージェントループに攻撃者が指示したシェルコマンドをローカルシェルバックエンド経由で実行させることができます。CVSS 9.8（v3.1）/ 9.2（v4.0）、CWE-306/CWE-1188。
なぜ重要か
これはAIエージェントオーケストレーションプラットフォームに対するセルフサービスの未認証RCEです。ネットワーク到達性だけを持つ攻撃者が、顧客エージェントが動作するマシン上で任意のコードを実行でき、エージェント/LLMスタック全体にピボットできます。
攻撃経路
REST/SSE APIは認証なしで提供され、エージェントサンドボックスはデフォルトでローカル実行に設定されています。未認証のPOST /sessions（作成されたセッション付き）に続くPOST /sessions/{id}/messagesは、Deep Agents ReActループをローカルシェルバックエンド経由で駆動し、サーバーユーザーとして攻撃者が制御するシェルコマンドを実行します（CWE-306 認証欠如 + CWE-1188 安全でないデフォルト）。
影響を受けるシステム
Cognition < 0.13.0 (pkg:github/CognicellAI/Cognition)
緩和策
サポートされていないホスト/ローカル実行に対してデプロイをフェイルクローズし、より厳格なテナント/スコープ強制を追加するv0.13.0にアップグレードしてください。