何が起きたか
Googleは（2026-10-19）、/libp2p-httpイングレスサーバーがBiscuit機能ポリシーを強制せず、未認証のリモートlibp2pピアがstdioベースのMCPサーバーや推論エンドポイントを含む登録済みバックエンドサービスを任意に呼び出せるようにする勧告を公開しました。CVSS 9.3（v4.0）CRITICAL; CISA SSVC automatable=yes、exploitation=poc。
なぜ重要か
エージェントメッシュでは、ゲートウェイはエージェントがMCPツールやモデルに到達するためのチョークポイントです。バイパスにより、未認証のピアはコマンドベースのMCPサーバーを認証なしで到達可能として扱うことができ、これはバックエンドノードでのコード実行とモデル/推論エンドポイントへのアクセスに直接つながります。
攻撃経路
MCPストリームハンドラーはBiscuit認証を強制しますが、並列の/libp2p-httpイングレス（cmd/sam-node/node.goのStartIngressServer）は、Biscuitトークンやメッシュ登録を検証せずにリクエストをバックエンドサービスハンドラーに直接ルーティングします（CWE-306 + CWE-862）。
影響を受けるシステム
Google SAM (github.com/google/sam) 0.1.0-alpha.1 から 0.1.0-alpha.2 まで
緩和策
v0.1.0-alpha.3以降にアップグレードしてください。