何が起きたか
シード検証済み（VulnCheckアドバイザリ、公開日10月21日）：`run_code`からディスパッチされる入れ子のツール呼び出しでは`UsageLimits.tool_calls_limit`の強制がバイパスされ、制約付き実行がオペレーター設定の制限を超えて実行可能。
なぜ重要か
エージェントハーネスの予算制御はコスト/安全性のための主要なガードレールである。バイパスが存在すると、プロンプトインジェクションされたコードが、サンドボックス化されたエージェントデプロイメントでオペレーターの上限を超えてツールを呼び出し続けることができる。
攻撃経路
ユーザーまたはプロンプトインジェクションされたサンドボックスプログラムは、`run_code`を使用して`run_nested_call()`を介して再帰的にツールを呼び出す。これは`check_before_tool_call`パスをスキップするため、構成された`tool_calls_limit`が無効化される。
影響を受けるシステム
Pydantic AI Harness < 0.59.0（CodeModeツールセット）
緩和策
Pydantic AI Harness 0.59.0+にアップグレードすること。サンドボックス外での入れ子ツールディスパッチを監視し制限すること。