エージェント型Code Review — 2026年 第25週 ウェブ開発

今週の一般的なウェブ開発で最も緊急のテーマは、AIエージェントで大規模に現れているconfused deputyセキュリティパターンでした。Metaのサポートアシスタントが6月初旬に悪用され、エクスプロイトコードなしに自然言語の会話だけでアカウント回復メールを変更することで、旧オバマホワイトハウスアカウントを含む20,000件以上のInstagramアカウントが乗っ取られました。Microsoftの研究チームは同時にAutoJackを公開しました。AutoGen StudioのMCP WebSocketハンドラー（プレリリースビルド0.4.3.dev1、0.4.3.dev2）を標的としたエクスプロイトチェーンで、localhost信頼の継承、MCPパスでの認証ミドルウェアのスキップ、許可リストなしのコマンド実行という3つの脆弱性を連鎖させてホストレベルのRCEを達成します。Auth0の関連記事では、CursorがPocketOSの本番データベース全体を9秒で削除した事例が示されました。RFC 8693 Token Exchangeを実装した適切にスコープされたidentityモデルの代わりにユーザーレベルのOAuth委任を保持していたことが原因でした。

VercelがTypeScriptエージェントフレームワークeveをオープンソースとして公開しました。ファイルシステムベースのディレクトリ構造（agent.ts、instructions.md、型付きツールファイル、Markdownスキルファイル、チャンネルアダプター）を使用し、Workflow SDKによるdurable executionと隔離されたサンドボックスコード実行を提供します。Vercelはeveベースの100以上の本番エージェントを運用しており、チケットの92%を自律的に解決するサポートエージェントと月3万件の質問を処理するデータ分析エージェントが含まれます。Addy OsmaniのエージェントコードレビューAnalysisは、Faros AIが22,000人の開発者から収集したデータを基に、AIが生成するコードのコストを定量化しました。コードchurnが861%増加、欠陥率が9%から54%に上昇、レビューなしマージが31%増加しています。彼の処方箋はblast radiusに応じた階層的レビューで、指摘された問題の93%がちょうど1つのツールだけで発見されることから、Greptile（正確性）とSentry Seer（本番の深刻度）のような異なる2つのAIレビュアーを並行実行することを推奨しています。

npm v12のデフォルトのライフサイクルスクリプト抑制（preinstall、install、postinstall、binding.gyp）はShai-Hulud、Miasma、chalk/debugなどのキャンペーンで悪用されたインストール時の攻撃ベクターを遮断します。しかしUlises Gasconの詳細な分析では、index.jsにIIFEを追加したりchild_processで環境変数を収集したりする実行時の攻撃は依然として完全に可能であることが示されています。Node.jsの権限モデルはセキュリティ境界ではなく、--allow-netによるネットワーク権限はNode.js 25でようやく追加され実際のCVEも発生しています。Cloud FourによってMediateされたWebMCPへのSafariの正式な反対は、より広い原則を明確にしました。AIエージェントのための改善はすべてのユーザーが恩恵を受けられるようHTMLとARIAを通じて行われるべきであり、スクリーンリーダーユーザーよりエージェントにリッチなセマンティクスを提供する別のAPIティアとして実装されるべきではありません。