ローカル AI CLI 開発者、AI 委譲ゲートウェイのルーティング設計におけるセキュリティ上の不備を公開──マーカー表の不整合と検証漏れによる意図しないクラウド転送のリスクを指摘
ローカル専用モードで運用していた AI タスク振り分けゲートウェイにおいて、クライアント側のマーカー表の不整合や添付ファイル未検査に起因する意図しない外部クラウド転送のリスクを報告している。
リリース: 2026-08-31 · 読了 3 分記事の要約
1. 核心（What）
- ローカル LLM と複数の外部 CLI 間でタスクを振り分ける個人開発のゲートウェイにおける設計上の不備が公開された。
- クライアント側のガード関数におけるマーカー表の不一致により、--allow-cloud なしでも特定の文字列でクラウドへ昇格する状態にあった。
- タスク文のみを検査対象とし、--files で読み込んだ添付ファイルの中身がチェックから漏れていた。
- 過去の出力および監査ログの走査では、--flash を用いた意図しない転送履歴は確認されなかった。
2. 影響（Why）
- 二重管理が生むロジックの乖離: クライアントとサーバーの両方にマーカー表を持つ設計では、一方の更新漏れがそのままセキュリティホールになり、意図しないクラウド送信を招くリスクが常態化する。
- 国内の受託開発における検証コスト: 国内の受託開発や社内ツール構築の現場では、ローカル専用を謳うプロキシツールを導入する際、ログに残らないファイル添付部分の検証仕様までコードレビューで担保する必要がある。
3. 根拠・詳細（How）
- Python 3.11+ と TOML 設定: 依存パッケージをゼロにし、設定を 1 枚の TOML ファイルに集約した Python 3.11+ 以上の環境で動作する仕組みとして再実装・公開されている。
- ペイロード全体を対象とした検証機構: タスク文だけでなく、persona やタグ、添付ファイル本文など、サーバーに送信される全テキストをガード関数の検査対象に含めるアーキテクチャを採用している。
4. 展望・課題（Next）
- 個人環境の依存剥離と公開: 個人環境依存のコードを完全に剥離し、ファイルの中身を外部に送信してよいかを既定で拒否する設計を反映したツールとして一般公開された。