パスワードを空白にすると誰でも入れたログイン。

if (user) { grantAccess() }。エージェントはメールでユーザーを取得した。空のパスワードでも行が見つかった。userは真値だった。アクセス許可。

テストスイートが通ったのは、テストが常に有効なパスワードのみを送っていたからだ。この事後分析は「AIが馬鹿だった」ではない。誰も失敗ケースを仕様化しなかったため、誰も検証しなかったということだ。