何が起きたか
CVE-2026-126758: .kimi-code/local.tomlコンポーネントはセキュリティ決定で信頼されていない additional_dir 引数に依存しているため、リポジトリ提供の設定がAIコーディングエージェントのワークスペースディレクトリの処理に影響を与える可能性がある。
なぜ重要か
AIコーディングエージェントはリポジトリローカルの設定を信頼します。悪意のあるリポジトリは、エージェントがワークスペース内として扱うパスを操作でき、想定されたディレクトリ外での操作（データアクセス/上書き）を可能にする。
攻撃経路
WorkspaceDirsService はリポジトリローカルの .kimi-code/local.toml 設定から additional_dir を読み取り、それをセキュリティ決定（ワークスペースの包含）で使用するため、細工されたリポジトリ設定がどのディレクトリがワークスペースとして扱われるかに影響を与える。
影響を受けるシステム
MoonshotAI kimi-code <= 2.0.2 (.kimi-code/local.toml)
緩和策
kimi-code 2.1.0+ にアップグレードしてください。リポジトリ提供の local.toml を検証し、信頼されていないものとして扱ってください。ワークスペース許可リストを強制してください。