AI/開発トレンド: MLflow・MCPの重大な脆弱性修正

  • MLflow
  • MCP SDK
  • TinyMCE
  • Anthropic
  • gpu-unlock-ada
  • dd-trace

本日の AI/開発ツール トピックス (2026-10-28)

1. 📋 本日のまとめ

💡 今日のポイント

  • 機械学習ツール「MLflow」において、遠隔からサーバーを乗っ取られる等の深刻な脆弱性が複数見つかりました。
  • AIシステムを連携させる「MCP Python SDK」において、通信が意図しないサーバーへ誘導される問題が修正されました。
  • Androidの広告をAIエージェントで自動排除するツールなど、実用的なOSSが急浮上しています。

本日のAI・開発ツール界隈では、セキュリティに関連する重大な情報が相次いで公開されています。特に機械学習モデルの管理基盤として広く普及している MLflow において、リモートコード実行（RCE）、ファイル読み取り、そしてLLMプロバイダ（OpenAI等）のAPIキーがログに漏洩してしまう脆弱性など、直ちにアップデートを要する複数の深刻な問題が修正されたバージョン v3.17.0 がリリースされました。

また、AIと外部システムを接続する規格であるModel Context Protocol（MCP）の MCP Python SDK でも、SSRF（サーバーへのリクエスト強要）や認証トークンの検証不備に関する脆弱性が修正された v2.2.0（1.x系は 1.30.0）がリリースされています。

これらのツールを利用している開発チーム・運用担当者は、直ちに影響範囲の確認と最新版へのアップデートを実施する必要があります。

一方で、ツール領域では、AIを活用してAndroid端末の広告や不要な推奨コンテンツを自動でクリーンアップする android-ad-cleaner や、一枚の写真からデジタルヒューマンの動画を生成する digital-human-koubo など、AIの推論・エージェント能力を直接的な課題解決に応用するプロジェクトがGitHub上で強いトレンドを形成しています。

2. 🚨 緊急セキュリティ情報

MLflow - スコアラーのデシリアライズに伴うリモートコード実行（RCE）

  • 🔰 ひとことで言うと: MLflowサーバーに細工されたデータを送られると、サーバー全体を乗っ取られる恐れがあります。
  • 内容: 実験作成エンドポイントにおいて、サードパーティ製スコアラーのデシリアライズ処理に問題があります。認証なしのサーバー設定において、攻撃者が作成したアーティファクトモジュールがインポートされることで、MLflowサーバーのプロセスとして任意のPythonコードが実行可能になります（CVE/GHSA-26p8-2jq9-3vq9）。
  • リスク度: 緊急
  • 📊 影響の大きさ:
    • 影響を受ける人: MLflow v3.12.0rc0 〜 v3.16.1 を稼働させている全ユーザー（特に認証なしで公開している環境）
    • 悪用の容易さ: ネットワーク経由で特別な権限なく容易に攻撃可能
  • 対象バージョン/環境: MLflow >= 3.12.0rc0, < 3.17.0
  • 対策・ステータス: バージョン 3.17.0 で修正済み。
  • 🛡️ まずやるべきこと: MLflowを 3.17.0 にアップデートしてください。アップデートできない場合は、サーバーをインターネットから完全に隔離してください。
  • 詳細リンク: GHSA-26p8-2jq9-3vq9

MLflow - プロンプトモデル経由の任意ファイル読み取り

  • 🔰 ひとことで言うと: 外部から、MLflowが動いているサーバーの中のパスワードや設定ファイルが盗み見られる可能性があります。
  • 内容: プロンプトとしてタグ付けされたモデルバージョンを作成する際、ソースがローカルパス（スキームなし）の場合のバリデーションが不足していました。これにより、パストラバーサル（../../../etc/passwd など）を用いたローカルファイルの読み取りが可能になります（GHSA-m65p-9j7q-6w33）。
  • リスク度: 高
  • 📊 影響の大きさ:
    • 影響を受ける人: MLflow v3.10.0 〜 v3.16.1 のサーバー運用者
    • 悪用の容易さ: 特殊な権限がなくてもモデル作成のリクエストを送れる環境なら容易
  • 対象バージョン/環境: MLflow >= 3.10.0, < 3.17.0
  • 対策・ステータス: バージョン 3.17.0 にて、プロンプトバージョンのソースとしてMLflow独自のプレースホルダーのみを許可するよう修正されました。
  • 🛡️ まずやるべきこと: MLflowを 3.17.0 にアップデートしてください。
  • 詳細リンク: GHSA-m65p-9j7q-6w33

MLflow - CrewAIのLLMプロバイダAPIキーのテレメトリ漏洩

  • 🔰 ひとことで言うと: CrewAIとの連携機能を使うと、OpenAIなどの大切なパスワード（APIキー）が誤って記録されてしまいます。
  • 内容: mlflow.crewai.autolog() を有効にした際、CrewAIの Agent オブジェクトが文字列化される過程で、llm フィールドに含まれるAPIキー（例: sk-proj-...）がプレーンテキストとしてトレースの属性（span attributes）や入力（spanInputs）に漏洩します。これにより、トレースデータにアクセスできる第三者にAPIキーが渡るリスクがあります（GHSA-j7qq-vr8c-xvw3）。
  • リスク度: 高
  • 📊 影響の大きさ:
    • 影響を受ける人: mlflow.crewai.autolog() を使用している開発者・チーム
    • 悪用の容易さ: トレースデータを閲覧できるユーザーなら誰でも取得可能
  • 対象バージョン/環境: MLflow >= 2.19.0, < 3.17.0
  • 対策・ステータス: バージョン 3.17.0 にて、LLMオブジェクトをモデル名のみに縮小し、クレデンシャルを除外するよう修正。
  • 🛡️ まずやるべきこと: 3.17.0 へのアップデート後、過去に漏洩した可能性のあるOpenAI等のAPIキーをすべて無効化（ローテーション）してください。
  • 詳細リンク: GHSA-j7qq-vr8c-xvw3

MCP Python SDK - 意図しないホストへのHTTPリダイレクトと認証情報送信

  • 🔰 ひとことで言うと: リダイレクト（転送）の設定を悪用され、APIキーなどの秘密情報が関係ないサーバーに送られてしまう恐れがあります。
  • 内容: SDKのHTTPクライアントがクロスオリジン（異なるドメイン）へのリダイレクト（307, 308）に無条件で追従し、その際カスタムヘッダー（X-API-Key など）やリクエストボディを送信していました。これにより、悪意のあるサーバーへ認証情報が漏洩する恐れがあります（GHSA-5h93-6whr-6q8j）。
  • リスク度: 中
  • 📊 影響の大きさ:
    • 影響を受ける人: MCP Python SDKをHTTPクライアントとして使用しているユーザー
    • 悪用の容易さ: 信頼しているエンドポイントのリダイレクト先を制御できる攻撃者による
  • 対象バージョン/環境: mcp >= 2.0.0, < 2.2.0 および >= 1.8.0, < 1.30.0
  • 対策・ステータス: バージョン 2.2.0（1.xは 1.30.0）にて、同一オリジン内のリダイレクトのみを許可するよう修正されました。
  • 🛡️ まずやるべきこと: 最新版（v2.2.0 または v1.30.0）にアップデートしてください。
  • 詳細リンク: GHSA-5h93-6whr-6q8j

TinyMCE - data-mce-object のシリアライズに伴うクロスサイトスクリプティング (XSS)

  • 🔰 ひとことで言うと: 掲示板などの入力欄（エディタ）に悪意のある文字を入れられると、見た人のブラウザでウイルス的な動作をします。
  • 内容: Mediaプラグインを有効にしたTinyMCEにおいて、data-mce-object 属性を通じて作成された要素がサニタイズ処理前に実行されてしまう格納型XSSの脆弱性です（GHSA-mf2p-h6hf-fcwm）。
  • リスク度: 中
  • 📊 影響の大きさ:
    • 影響を受ける人: TinyMCEのMediaプラグインを使用しているWebサービスの利用者
    • 悪用の容易さ: コメントや記事投稿機能を通じて攻撃可能
  • 対象バージョン/環境: TinyMCE >= 8.5.1, < 8.9.3 および = 7.9.3
  • 対策・ステータス: バージョン 8.9.3 および 7.9.4 にてサニタイズが先に行われるように修正されました。
  • 🛡️ まずやるべきこと: TinyMCEを利用しているシステム管理者は、修正バージョンへアップデートを行ってください。
  • 詳細リンク: GHSA-mf2p-h6hf-fcwm

3. 🚀 メジャーリリース・新機能

Anthropic SDK TypeScript - v1.3.0

  • 🔰 ひとことで言うと: 企業向けのClaude APIで、新しく「タグ」機能が使えるようになりました。
  • 👥 誰に影響があるか: Claude APIを利用している開発者、特にエンタープライズ版を利用している企業
  • 新機能の概要: Claude Enterprise向けの「Claude Tag」エンドポイントが新規に追加されました。また、実行時間の長いリクエストに対するエラーメッセージの改善や、SDKドキュメントの充実化が含まれています。
  • 技術的ブレークスルー: エンタープライズ組織内のリソース管理や使用状況のトラッキングが、タグを用いることでより柔軟に行えるようになります。
  • 開発フローへの影響: 企業内での複数プロジェクトや部門単位でのコスト・リクエスト管理が容易になり、運用負荷が軽減されます。
  • 利用開始日/提供形態: 2026年10月23日（NPMにて提供）
  • 公式サイト/リリースノート: NPM @anthropic-ai/sdk

MLflow - v3.17.0

  • 🔰 ひとことで言うと: 大きなセキュリティの穴を塞ぐための重要なアップデートです。
  • 👥 誰に影響があるか: MLflowを利用して機械学習モデルを管理・運用しているすべてのエンジニア
  • 新機能の概要: 本アップデートは主に重大なセキュリティ脆弱性（前述のRCE、ディレクトリトラバーサル、APIキー漏洩など）の修正に特化したリリースです。
  • 技術的ブレークスルー: CrewAIとの連携におけるシリアライズ処理が見直され、機密情報（APIキー等）がテレメトリに混入しない安全な設計に変更されました。
  • 開発フローへの影響: これまで安全だと過信されがちだったトレースログに対する警戒感が強まり、今後はシークレット情報の扱いに関するベストプラクティスが開発フローに組み込まれることが期待されます。
  • 利用開始日/提供形態: すでにPyPI等で提供開始済み
  • 公式サイト/リリースノート: MLflow GitHub

MCP Python SDK - v2.2.0

  • 🔰 ひとことで言うと: AIシステム間の通信が、より安全に強化されました。
  • 👥 誰に影響があるか: Model Context Protocol (MCP) を用いてAIエージェントと外部システムを接続している開発者
  • 新機能の概要: HTTPクライアントのリダイレクト処理が厳格化され、クロスオリジンへのリダイレクト時にはリクエストを停止するようになりました。また、Bearer認証において、発行されたトークンの対象（audience）を厳密に検証する validate_token_resource オプションが追加されました。
  • 技術的ブレークスルー: JSON Schemaの $ref 解決において、ネットワーク通信を伴う外部参照をデフォルトで遮断するようになり、サーバーからの意図しないリソース読み込み（SSRF）やDoS攻撃をプロトコルレベルで防御しています。
  • 開発フローへの影響: 外部サーバーと通信するツールのスキーマ定義において、より厳密な自己完結型の定義が求められるようになります。
  • 利用開始日/提供形態: すでにPyPI等で提供開始済み
  • 公式サイト/リリースノート: MCP Python SDK GitHub

4. 🔥 注目のトレンドツール

gpu-unlock-ada

  • 🔰 ひとことで言うと: RTX 4090などの強力なGPUの制限を解除し、AI処理をさらに速くするための実験的ツールです。
  • 💡 こんな人におすすめ: ローカル環境で大規模なAIモデルの学習や推論を高速化したい研究者やハードウェア愛好家
  • 概要: NVIDIA RTX 4090 および一部の RTX 4070 Ti SUPER 向けに、GPUのTensorコアの制限を解除（アンロック）するファームウェアをローカルで生成する実験的ツールです。
  • 注目の理由・背景: 消費者向けハイエンドGPUにおけるAI性能のソフトウェア的制限をバイパスすることで、エンタープライズ向けGPUに近い性能を引き出そうとする試みとして、開発者コミュニティで急速に注目（スター獲得）を集めています。
  • 主な機能・用途: ローカル環境でのカスタムファームウェアの生成と適用。
  • 他の類似ツールとの比較: 過去のLHR（Lite Hash Rate）解除ツールと似ていますが、今回は生成AI（Tensor計算）のパフォーマンス向上に焦点を当てています。
  • 公式サイト/GitHub: JustAResearcher/gpu-unlock-ada

android-ad-cleaner

  • 🔰 ひとことで言うと: スマホの中の鬱陶しい広告や通知を、AIが全自動で綺麗にしてくれるツールです。
  • 💡 こんな人におすすめ: Androidスマートフォンをより快適に使いたいユーザー、AIエージェントの自動化に興味がある開発者
  • 概要: 中国製Androidスマートフォンのシステムレベルに組み込まれた広告、トレンド検索、ニュース推薦などを無効化するツールです。Root化不要で、AIエージェントによるワンクリック実行をサポートしています。
  • 注目の理由・背景: OSレベルの不要な通信や広告表示に対するユーザーの不満を、最新のAIエージェント技術（Claude Codeなど）を用いて自動解決するアプローチが支持されています。
  • 主な機能・用途: 広告コンポーネントの無効化、元の状態への復元機能。
  • 他の類似ツールとの比較: 手動でadbコマンドを叩く従来のツール（Debloatツール）とは異なり、AIエージェントが端末状態を解析して安全かつ自動で処理を行う点が画期的です。
  • 公式サイト/GitHub: rddmwmddr/android-ad-cleaner

digital-human-koubo

  • 🔰 ひとことで言うと: たった1枚の写真から、本物の人間が喋っているような動画を作れるツールです。
  • 💡 こんな人におすすめ: AIを用いた動画コンテンツ制作を行うクリエイターやマーケター
  • 概要: 1枚の写真からデジタルヒューマンのトーキングヘッド（話す顔）動画を生成する統合ツール。Renoise MCP生成や5種類の編集スタイル、48種のクリエイター向けコンポーネントを備えています。
  • 注目の理由・背景: MCP（Model Context Protocol）を活用し、Claude CodeやOpenClawなどのAIエージェントの「スキル」としてシームレスに組み込める点が新しいと評価されています。
  • 主な機能・用途: プロ品質のAIアバター動画生成、動画編集パイプラインの自動化。
  • 他の類似ツールとの比較: 単なる動画生成APIではなく、AIエージェントのツールチェーンとしてシステムに統合しやすいアーキテクチャを採用しています。
  • 公式サイト/GitHub: andyhuo520/digital-human-koubo

GEOInflow

  • 🔰 ひとことで言うと: AI検索エンジン（ChatGPTなど）から自分のサイトにどれくらい人が来ているかを分析するツールです。
  • 💡 こんな人におすすめ: メディア運営者、SEO/GEO対策を行うマーケティング担当者
  • 概要: Generative Engine Optimization (GEO) 向けのセルフホスト型Web・AIクローラー分析ツール。訪問者、AI検索からの流入、クローラーのログ、コンテンツカバレッジなどを追跡します。
  • 注目の理由・背景: 従来の検索エンジン（SEO）から、AIチャットやAI検索（GEO）へとトラフィックの主戦場が移行する中で、AIからの参照元を正確に計測できるツールへの需要が爆発しています。
  • 主な機能・用途: AIクローラーのアクセスログ解析、コンテンツのAIによる参照率の可視化。
  • 他の類似ツールとの比較: Google Analyticsのような汎用解析ツールでは追いきれない「AIボットの挙動」に特化している点が最大の強みです。
  • 公式サイト/GitHub: yaojingang/GEOInflow

5. 💡 その他・Tips

【APIキーの取り扱いに関する基本原則】 本日のMLflowの脆弱性（GHSA-j7qq-vr8c-xvw3）が示す通り、「ログ出力されないはず」という暗黙の前提は非常に危険です。 AIエージェントやLLM SDKを使用する際は、オブジェクトのフィールドに直接APIキーを持たせる設計を避け、環境変数（OSの機能）や専用のシークレット管理サービスから実行時に都度参照するアーキテクチャ を採用してください。

6. 📝 総評

📌 今日の一言まとめ AI開発を便利にするツールの裏側で、APIキーの漏洩やサーバー乗っ取りといった深刻なリスクが顕在化しています。アップデートは早急に行いましょう。

本日はAIエコシステムの「インフラ」として機能しているMLflowとMCPに関連して、非常に深刻な脆弱性が立て続けに報告・修正されました。 特に注目すべきは、「AI/LLM特有の機能が新たな攻撃ベクトルを生んでいる」 という点です。MLflowにおけるプロンプト管理機能やサードパーティ製スコアラーの動的読み込み機能が、結果としてRCE（リモートコード実行）やパストラバーサルを引き起こしています。また、CrewAIのLLMオブジェクトがシリアライズされる際にAPIキーが漏れるという事象は、複雑なAIエージェントフレームワークが背後でどのようなデータを保持しているか、開発者自身も完全に把握できていない現状を浮き彫りにしました。 便利なSDKやプロトコルを採用する際は、「それが背後でどうデータを扱っているか」をセキュリティの観点から常に疑い、定期的な監査と迅速なアップデート対応を行える体制を構築することが、今後のAI開発において必須の要件となります。

7. 📖 用語解説

用語 解説
RCE (リモートコード実行) 攻撃者がインターネットなどを経由して、遠隔から被害者のコンピューター上で勝手にプログラム（コード）を実行してしまう極めて危険な攻撃です。
SSRF 「サーバー・サイド・リクエスト・フォージェリ」の略。攻撃者がサーバーを騙して、サーバー自身に別の危険なサイトや内部の秘密の領域へアクセスさせる攻撃手法です。
ReDOS 「正規表現」という文字探しのルールの書き方が悪いせいで、非常に時間のかかる計算をサーバーに強制させ、システムをダウン（フリーズ）させる攻撃です。
MCP (Model Context Protocol) AIエージェントが、外部のツールやデータと安全にやり取りするための「共通の会話ルール（プロトコル）」のことです。
OTLP システムの状態（ログや通信の記録）を、監視ツールに送るための世界標準のデータ形式（OpenTelemetry Protocol）です。
GEO 「Generative Engine Optimization」の略。従来のGoogle検索対策（SEO）に対して、ChatGPTなどの「AI検索」で自分のサイトを上手く参照・紹介してもらうための新しい対策のことです。

(出典: 各公式サイト、GitHub、リリースノート、TechニュースサイトよりAIが要約)