AIコーディングの基盤Archon、制御APIが既定で認証なし　深刻度9.8

AIコーディングの作業の流れを組むオープンソースの基盤「Archon」に、深刻度9.8（10点満点）の弱点が見つかり、CVE-2026-111322として10月16日に公開された。標準のまま入れると、エージェントを動かす制御のAPIに認証がなく、しかも外から届く設定で待ち受ける。同じネットワークにいる誰でも、確認を飛ばして動くエージェントに命令を送れる。弱点は未修正で、開発元の告知はない。待ち受け先を自分の機械だけにする設定で、今日から防げる。

記事の内容を自社でどう進めるか、内容が固まっていない段階でも相談できます。仕事の相談

毎週 1 回、その週の記事から 5 本と実践の 1 本を選んでメールで届けます。ニュースレターを購読する（無料）

認証なしで何ができてしまうのか

CVEの記録によると、Archonのサーバーは、Webの管理画面が使う「/api/」で始まる制御のAPIを持つ。標準の入れ方では、このAPIに認証がかからない。しかもサーバーは、自分の機械だけでなく、すべてのネットワークの入り口で待ち受ける。

このAPIを通すと、エージェントにメッセージを送れる。エージェントは、操作ごとの確認を飛ばす設定で動いている。Claude Codeでいえば、ファイルの書き換えやコマンドの実行のたびに人の許可を求める仕組みを、最初から外した状態にあたる。そのため、ネットワークでサーバーに届く人なら誰でも、エージェントに頼む形で、Archonを動かしている利用者の権限でコマンドを実行できる、とCVEの記録は書く。

弱点を報告した研究者の解説によると、認証が働くのは、データベースにPostgresを使い、署名用の秘密の値も設定した場合だけだ。標準ではデータベースにSQLiteを使い、秘密の値も設定しないので、認証の関所は素通りになる。待ち受けのポートは3090番だ。研究者は、この状態で作業の流れを作って動かすこと、会話にメッセージを差し込むこと、エージェントが止まって待っている承認を勝手に通すことや取り消すことができると書いている。

未修正で、開発元の告知はない

この弱点は未修正で、開発元の告知はない。Archonは10月17日に0.12.0と0.12.1を出したが、リリースノートの安全の項目にこの弱点の話はない。編集部が10月19日に0.12.1と最新の開発版のソースを確かめた範囲では、待ち受け先の既定はすべての入り口のままで、認証が働く条件も変わっていなかった。CVEの対象が0.11.1までなのは、公開の時点でそれが最新だったためとみられる（編集部の読み）。

深刻度は、よく使われる物差しのCVSS 3.1で9.8、新しいCVSS 4.0で9.3で、どちらも最も重い「緊急」にあたる。攻撃に特別な条件はなく、ログインも利用者の操作も要らない。

Archonには、2025年にも別の弱点の番号CVE-2025-69443が付いている。研究者によると、それはすでに開発を終えた古いPython版の話で、今回はいま開発が続いているTypeScript版のサーバーの問題だ。古い記事を読んで「もう直った話」と思っている人は、別物だと考えたほうがよい。GitHubの安全情報の一覧にも今回の項目はあるが、CVEの記録から自動で作られた「未審査」の扱いで、開発元が出した告知ではない。

今日のうちにできる手当て

Archonを使っている人がまずすべきことは、待ち受け先を自分の機械だけにすることだ。Archonに付いてくる設定の見本ファイルにも、環境変数HOSTを127.0.0.1にすれば自分の機械だけに絞れると書いてある。家や会社の同じネットワークにいる別の機械や、クラウドで外に開いたサーバーからは、これで届かなくなる。設定を変えたらサーバーを起動し直し、別の機械から3090番に届かないことを確かめておく。

ほかの機械から管理画面を使う必要があるなら、Postgresと32文字以上の秘密の値を設定して認証を働かせるか、ファイアウォールで3090番を閉じ、信頼できる経路だけを通す。クラウドの機械で動かしている場合は、外から3090番に届かないかを今日のうちに確かめたい。エージェントが動いた記録に、自分が頼んでいない作業の流れや会話が残っていないかも見ておきたい。

編集部の見方

エージェントに確認なしで作業させる仕組みは便利だが、その入り口に鍵がなければ、誰の命令でも同じように動く。Archonの弱点は、手元で試すつもりの道具が、標準のまま外から操れる状態になっていた例だ。似た道具を入れる時は、待ち受け先と認証の既定を最初に確かめる習慣を付けたい。直るまでは、自分の機械だけで待ち受けるのが最低限の守りだ。