何が起きたか
1.1.0 より前では、CLIおよびWebクライアントはステートメントの最初のキーワードのみに基づいて書き込み確認を要求するかどうかを決定していたため、書き込みを実行するSELECT風のステートメントは確認の対象としてフラグされなかった。
なぜ重要か
MCP経由でSQLを駆動するAIエージェントにとって、これは意図された人間による確認ガードレールを除去し、オペレーターが確認を求められるはずだった書き込みをエージェントが実行できるようにする。
攻撃経路
バンドルされたクライアントは、書き込み確認を表示するかどうかを決定する前に、 query_database ステートメントを最初のキーワードのみで分類するため、読み取りキーワードで始まるが後に書き込みを実行するステートメントは確認プロンプトを回避する。
影響を受けるシステム
pgedge-postgres-mcp < 1.1.0 (CLI/Webクライアントのクエリ分類)
緩和策
pgedge-postgres-mcp 1.1.0 にアップグレードしてください。明示的な書き込み許可リスト / 最小権限のDBロールを優先してください。