はじめに – 見えないサンドボックスの落とし穴

日々、多様なnpmパッケージを利用して開発を進める私たちフロントエンドエンジニアにとって、アプリケーションのセキュリティは常に重要な関心事です。特に、ユーザーが提供するコンテンツやAIが生成するコードなど、信頼できないコードを実行する際には「サンドボックス」機能が重要な役割を果たします。しかし、そのサンドボックス機能が期待通りに動作しないとしたらどうでしょうか？

今回解説するのは、npmパッケージ「praisonai」に存在するサンドボックス機能の脆弱性（GHSA-gqmf-56h7-rrpf）です。この脆弱性は、深刻度「High」と評価されており、指定された「ネットワーク隔離」モードが、実際にはネットワークを完全に遮断できないという重大な欠陥を抱えています。一見すると安全に見える環境が、実は意図しない情報漏洩や不正アクセスの経路となり得るため、その仕組みと対策を深く理解することが求められます。

脆弱性の概要と仕組み：なぜ「隔離」が不完全なのか？

`praisonai`パッケージが提供する`SandboxExecutor`には、`network-isolated`（ネットワーク隔離）というモードがあります。このモードはCLIの説明で「ネットワークアクセスなし（プロキシブロック済み）」とされており、多くの開発者はこれを「完全に外部ネットワークと遮断された環境」と認識するでしょう。しかし、実際のところ、このモードが行うのは子プロセスにプロキシ環境変数（例: `http_proxy`, `https_proxy`）を注入する処理に留まります。

問題の核心はここにあります。OSレベルでのネットワーク分離（ファイアウォールルールやネットワーク名前空間など）は一切行われていません。そのため、注入されたプロキシ環境変数を明示的に尊重しない（プロキシ非対応の）ネットワーククライアントは、ホストのネットワークスタックを直接使用して外部ネットワークに接続できてしまいます。

検証（PoV）では、プロキシ設定を意識するNode.jsのクライアントはブロックされる一方で、`http.get`のような通常のNode.js HTTPクライアントは、サンドボックス環境内からローカルのHTTPサーバーに接続できてしまうことが示されています。これは、`praisonai`が提供するAPIおよびCLIモードにおける「ネットワーク隔離」機能の根本的な失敗を意味します。

影響と潜在的なリスク：フロントエンド開発への関連性

この脆弱性は、`praisonai`パッケージの`SandboxExecutor`を`network-isolated`モードで使用しており、そのモードがネットワークを完全に遮断するセキュリティ境界であると信頼しているアプリケーションに深刻な影響を与えます。特に、ユーザーからの入力やAIモデルが生成したコードなどをサンドボックス内で実行し、外部への情報漏洩や不正アクセスを防ぎたいと考えている場合に、その信頼は脆くも崩れ去ります。

攻撃者はプロキシ設定を無視するようなネットワーククライアントを使用することで、サンドボックスを迂回し、以下のような悪意ある行為を行う可能性があります。我々フロントエンドエンジニアが関わるシステムにおいても、これらのリスクは無視できません。

この脆弱性は、`npm:praisonai`パッケージのバージョン`1.2.3`から`1.7.1`までの範囲で影響が確認されています。

推奨される対応策：真のネットワーク隔離を実現するために

この脆弱性に対処し、真に安全なサンドボックス環境を構築するためには、以下の対策が推奨されます。

本当にネットワークを遮断したい場合は、OSの機能を利用して、ネットワークアクセスを完全に拒否する実行境界を設ける必要があります。単なるプロキシ設定では不十分です。

もし、`praisonai`が意図しているのがプロキシ環境変数の設定のみである場合、モード名を`proxy-blocked`（プロキシブロック）など、機能に合った名前に変更し、このモードがセキュリティ境界ではないことをドキュメントで明確に警告してください。OSレベルでの強制的なネットワーク遮断が実装されるまでは、`network-isolated`という名称は使用するべきではありません。

回帰テストを追加し、ローカルサーバーを起動して、直接ソケットを使用するクライアント（Node.jsの`http.get`、Pythonのソケット、あるいは`curl`などの一般的なネットワーククライアント）が`network-isolated`モード下で外部に接続できないことを確認してください。これにより、将来的な同様の脆弱性の混入を防ぎます。

サンドボックス化されたコマンドから特定の宛先への接続を許可する必要がある場合を除き、デフォルトですべての外部接続を拒否し、必要なものだけを許可リスト（ホワイトリスト）で許可するセキュリティ設計を検討してください。これは、最小権限の原則に則った基本的なセキュリティプラクティスです。

まとめ

`praisonai`パッケージの脆弱性は、サンドボックス機能が提供する「隔離」が表面的なものである場合があることを私たちに教えてくれます。単に「隔離モード」と名付けられているからといって、それがOSレベルでの厳密なセキュリティ境界を意味するとは限りません。特に、信頼できないコードを実行する環境を構築する際には、そのセキュリティ機能がどのように実装されているのか、その深さを理解することが不可欠です。

私たちフロントエンドエンジニアも、ライブラリやツールが提供するセキュリティ機能を盲信せず、常にその実態を疑い、必要であればOSレベルのセキュリティ対策と組み合わせて、真に堅牢なシステムを構築していく意識が求められます。今回の件を教訓として、ご自身のプロジェクトで使用しているサンドボックス機能や類似のセキュリティ機能について、今一度見直してみてはいかがでしょうか。