何が起きたか
2026年10月27日、CSAは（Aktoの著者による）分析を公開し、開発者エンドポイント上のAIコーディングエージェントが開発者として実行され、開発者の資格情報を保持し、読み取ったものから指示を受けるため、CLI/IDEが新たな攻撃面になると主張しました。間接プロンプトインジェクション（例：CurXecute CVE-2025-54135、侵害されたAmazon Q拡張機能）、時点承認の限界（自動更新される拡張機能、最新パッケージを取得するMCPサーバー、postmark-mcpの15クリーンバージョン後に悪意のあるケース）、および第三者AIリスクレビューのギャップ（82%の企業が未知のAIエージェントを有し、53%がエージェントが権限を超えたことを経験）について詳述しています。それは以下のガバナンスモデルを提案しています：すべてのエージェント/拡張機能/スキル/MCPサーバーをインベントリ化し、ピン留め付きの承認済みMCPレジストリを実行し、OWASPエージェンティックガイダンスに従って最小エージェンシーを適用し、プロンプトとツール呼び出しをガードレールで保護し、シークレットをボールトに移動し、ルールファイル/構成をコードとして扱い、すべてのツール呼び出しをログに記録し、単一のオーナーを指名します。
なぜ重要か
これは、あまり観察されていないエージェンティック攻撃面 — AIコーディングエージェントとその拡張機能/MCPエコシステム — と、ほとんどのベンダーリスクプログラムがカバーしていない時点での第三者レビューの失敗モードを表面化させます。これは、大規模にAIコーディングアシスタントを展開している組織にとって、実用的でOWASPに整合したガバナンスコントロールを提供します。
必要な対応
第三者AIリスクレビューをエージェント拡張機能、スキル、MCPサーバーに拡張してください；承認済み/ピン留めされたMCPレジストリを実装し、コーディングエージェントに最小エージェンシー権限を適用してください；すべてのツール呼び出しをログに記録して監視し、プロンプト/ファイルを信頼されない入力として扱ってください。