何が起きたか
validate_generated_code ASTチェッカーとBLOCKED_PATTERNSフィルターは、チェッカーがモデル化しない動的なgetattr/__builtins__呼び出しチェーンを構築することで回避できます。受け入れられたソースはディスクに書き込まれ、アプリケーションプロセスユーザー（デフォルトのコンテナではroot）として実行され、出力はServer-Sent Eventsで返されます。
なぜ重要か
エージェントの意図はLLMが安全なコードを生成することです。このバイパスにより、認証済みユーザー（またはCVE-2026-63377経由で攻撃者が所有するユーザー）はコンテナ内でrootとして任意のコードを実行でき、Okta APIトークン、JWTキー、SQLiteデータベースを開示し、エージェントホスト内でのピボットと永続化を可能にします。
攻撃経路
POST /api/react/execute-scriptはscript_codeで攻撃者指定のPythonを受け入れますが、バリデーターはgetattr/__builtins__の動的呼び出しチェーンを見逃し、コードはasyncio.create_subprocess_execでコンテナユーザー（root）として実行されます。
影響を受けるシステム
TAKO AI Agent for Okta 3.0.1-beta未満
緩和策
TAKO AI Agent for Okta 3.0.1-betaにアップグレードしてください。修正コミット：https://github.com/fctr-id/okta-ai-agent/commit/3b5ccaff8423cdfa6d26f5e133c01b8b71148df4