タグ：スマホエージェント

一柱のスマホエージェントへの信頼監査：Mika の静的審査、権限境界の正直な階層化、そして「自分で作ればもっと安全」という神話の解体

オープンソースのスマホエージェント Mika（wangzan101/Mika、星 2.5k、Kotlin＋Compose）への全面静的審査。クローン後はコードを一切実行せず、権限、ネットワーク出口、プレビルトバイナリ、依存ソース、露出面の五次元を通過した。テレメトリなし、依存はすべて公式源、MCP は Bearer 認証つきのループバック限定とレート制限、Keystore による暗号化された資格情報。結論は「悪意ある挙動なし」であり、リスクは製品の本質（ユーザー補助＝端末全体の視界）に宿る。バージョン行列（Android 12 が敷居、14 が最適、arm64 必須）、段階的試用案、アンインストールの清潔さも併せて確定。そして魂の問い——自分で作ればもっと安全か——には三層の答えが返った。ゼロからの自作はおそらくより不安全であり（安全工学こそ失敗が集まる場所）、フォークして締め上げるのは実行可能だが重く、縮小版（スマホを操作しない）だけが真に安全な道である。