OpenCode v1.14.46 の更新内容
OpenCode は v1.14.46 で、設定編集の安定性向上や、HTTP API の型整合性修正、そして Plan Mode におけるセキュリティバイパスの解消など、実用性と堅牢性を大幅に強化したアップデートを公開しました。
キーポイント
セキュリティ脆弱性の修正
Plan Mode においてサブエージェントが親エージェントの拒否ルールを無視できるセキュリティバイパスを特定し、修正を行いました。
HTTP API と SDK の整合性強化
数値やブール型のクエリパラメータ処理を改善し、OpenAPI スペックと SDK タイプ、ランタイム検証の不一致を解消しました。
レガシーデータの互換性確保
古いセッションデータに含まれる数値や負のトークンカウントが読み込み失敗の原因となっていた問題を修正し、起動時の安定性を向上させました。
設定編集機能の強化と MCP 対応
設定ファイルの自動カスタマイズ機能を追加して起動エラーを減らす一方、不具合のある outputSchema を公開する MCP サーバーへの対応も改善しました。
重要な引用
Fixed a Plan Mode security bypass where subagents could ignore parent-agent deny rules.
Added a built-in customize-opencode skill so opencode config edits are less likely to break startup.
Fixed numeric HTTP API query parameters in the generated OpenAPI spec and SDK for session and file endpoints.
影響分析・編集コメントを表示
影響分析
今回のアップデートは、単なる機能追加にとどまらず、特にセキュリティバイパスの修正と API の型整合性の確保により、開発環境の信頼性を根本から強化するものです。ユーザーにとっては、設定変更時の不安定さや旧データとの互換性問題が解消されるため、日常利用における摩擦が大幅に減少し、より堅牢な AI エージェント運用が可能になります。
編集コメント
今回のリリースは、機能の追加よりも「壊れないこと」に焦点を当てた重要な修正群です。特にセキュリティバイパスの解消と API の型整合性確保は、実運用における信頼性を支える基盤となるため、ユーザーは速やかに適用すべきアップデートと言えます。
コア
改善点
- オープンコード設定の編集が起動時に破損する可能性を低減するため、組み込みのカスタマイズ用オープンコードスキルを追加しました。
バグ修正
- セッションおよびファイルエンドポイントに関する生成された OpenAPI スペックと SDK 内の数値 HTTP API クエリパラメータ（query parameters）を修正しました。
- SDK タイプとランタイム検証が整合するよう、ブール値 HTTP API クエリの処理を修正しました。
- 古いデータをロードできない代わりに、セッション、差分、および再試行イベント内のレガシーな保存済み数値値に対応するようにしました。
- トークン数が負の値である古いセッションによりメッセージの読み込みやデスクトップ起動が失敗する問題を修正しました。
- サーバーが破損した outputSchema 参照を公開している場合の MCP ツール（MCP tool）の検出を修正しました。
- ワークスペース HTTP API クエリのズレを修正し、ワークスペース経由のエンドポイントが OpenAPI および SDK で正しいクエリパラメータを公開するようにしました。
- サブエージェントが親エージェントの拒否ルールを無視できる Plan Mode（プランモード）のセキュリティバイパスを修正しました。
原文を表示
Core
Improvements
- Added a built-in customize-opencode skill so opencode config edits are less likely to break startup.
Bugfixes
- Fixed numeric HTTP API query parameters in the generated OpenAPI spec and SDK for session and file endpoints.
- Fixed boolean HTTP API query handling so SDK types and runtime validation stay aligned.
- Tolerated legacy stored numeric values in sessions, diffs, and retry events instead of failing to load old data.
- Fixed old sessions with negative token counts causing message loads and Desktop startup to fail.
- Fixed MCP tool discovery when a server publishes broken outputSchema references.
- Fixed workspace HTTP API query drift so workspace-routed endpoints expose the right query parameters in OpenAPI and the SDK.
- Fixed a Plan Mode security bypass where subagents could ignore parent-agent deny rules.
関連記事
今日のまとめ
AI日報で今日の重要ニュースをまとめ読み