Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

Say how an agent should weigh annotations that the page wrote about itself

オープン 初心者向け
  • 何か問題がありますか？
#353 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

@kenchris がすでに取り組んでいます。

2026年10月20日 から。

  • #355 @kenchris による — オープン

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
72/100
issue の種類
ドキュメント
明瞭さ
明確に書かれている
活発さ
活発
技術スタック
markdown
領域
documentation

調査の方向性

セクション6.3.2、6.4.4、6.4.5に加え、issueで言及されている現在のギャップとセキュリティ上の考慮事項を読んでください。エージェントが、精査の度合いを高めたり下げたりするヒントと、ページのオリジン権限をどのように扱うべきかを説明する、6.4の緩和策への短い非規範的な追記を作成してください。追記では、提案された3つの点すべてを扱い、現在のギャップを緩和策の指針に結び付けてください。

索引モデルが issue の本文から書いたものです。

説明

Summary

The annotations (readOnlyHint, untrustedContentHint, consequentialHint) are written by the page, and agents will use them to decide when to ask the user. The security considerations describe the risk, but the mitigations do not say how much weight an agent should give a hint that the page wrote about itself. I'd like to propose a short, non-normative addition.

What the spec says today

  • 6.3.2: "There is no guarantee that a WebMCP tool's declared intent matches its actual behavior."
  • 6.3.2.4 (Current Gaps) lists "Agents must assume good faith from site developers."
  • 6.4.4 and 6.4.5 call the hints "a signal to the client", and 6.4.5 says clients can use consequentialHint to enforce confirmation prompts.
  • 6.3.2.1 notes that the user's cookies and session state are available to the page, so a tool can do high-privilege actions on that origin.

So the spec says a declared intent may not match the behavior, lists the need to assume good faith as a current gap, and then offers the hints as the mechanism for confirmations. It does not say what an agent should do with that tension, so an implementer has to decide on their own. MCP is clearer: clients must treat annotations as untrusted unless the server is trusted, and its post on annotations as a risk vocabulary says hints inform decisions and only controls enforce them.

Why it matters

Hints do not all carry the same risk when they are wrong.

  • A hint that raises scrutiny (consequentialHint: true, untrustedContentHint: true) can only add friction. An agent can honour it from anyone.
  • A hint that lowers scrutiny (readOnlyHint: true, consequentialHint: false) is a claim by the page about itself. If it is wrong, a tool runs without the user being asked, with the user's session on that origin (6.3.2.1).

Without guidance, agents will make different choices, and a page author cannot know what a hint will do in a given agent.

Proposal

Add a short note to the mitigations in 6.4 (non-normative to start with) saying:

  1. Annotations are advisory. A hint that raises scrutiny may always be honoured.
  2. A hint that lowers scrutiny should not on its own cause an agent to skip a confirmation that it would otherwise require. It may be taken into account together with what the agent knows about the origin and the tool.
  3. A tool runs with the registering page's own reach: the cookies and session of that origin (6.3.2.1), and nothing beyond what scripts in the page already have.

This would also give the "current gaps" in 6.3.2.4 something to point at.

Related: #331 (what consequentialHint covers), #53 (hint semantics and defaults), #288 and #298 (page-side approval steps and write boundaries), #313 (mitigations in general).

主要言語
Bikeshed
スター
4.7k
フォーク
328
平均マージ
1日 21時間
マージ済み PR（30日）
15

環境構築

このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

webmachinelearning/webmcp のほかの issue

webmachinelearning/webmcp の issue をすべて見る

似ている issue

Documentation の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。