何が起きたか
Googleは（2026-10-19）、SAMのMCPプロキシとOIDC登録フローにより、リモート攻撃者がメッシュに自己登録し、接続されたすべてのMCPバックエンドノードにまたがる任意のツールを呼び出せるようになると公開しました。CVSS 9.3（v4.0）CRITICAL; CISA SSVC exploitation=poc。
なぜ重要か
これはメッシュ内のすべてのMCPツールとエージェントバックエンドを制御するための資格情報不要の経路です。登録エンドポイントに到達できる攻撃者は、ワイルドカードのサービス/ターゲットバインディングを持つメッシュ資格情報を取得し、実質的にエージェントフリートとその背後にあるMCPサーバー（コマンドベースのものも含む）を所有します。
攻撃経路
MCPプロキシ（mcp_service.goのHandleStreamPassThrough）での認可欠如に加え、OIDC登録フロー（GET /infoおよびPOST /register）での安全でないデフォルトがあります。GET /infoはOIDC設定を公開し、POST /registerはクレームフィルタリングや禁止チェックなしに有効なトークン保持者を自動登録し、デフォルトポリシーはsam:system:authenticatedをワイルドカードのサービスとターゲットにバインドします（CWE-862 + CWE-1188）。
影響を受けるシステム
Google SAM (github.com/google/sam) 0.1.0-alpha.1 から 0.1.0-alpha.8 まで
緩和策
v0.1.0-alpha.9以降にアップグレードしてください（フェイルクローズのデフォルトポリシー、明示的なポリシーバインディング、禁止チェック）。