AWSのエージェント型IDE「Kiro」に存在する重大な脆弱性により、攻撃者は通常のWebページ内に悪意のある命令を隠し、AIエージェントをだまして自らの設定ファイルを書き換えさせ、疑わしい承認プロンプトを一切表示することなく開発者のマシン上で任意のコードを実行できることが判明しました。
Kiroには、AIが自律的に動作するためのツールが備わっており、Webフェッチ機能、シェル実行機能、そしてModel Context Protocol(MCP)サーバーの管理機能が含まれています。これらの設定は~/.kiro/settings/mcp.jsonというファイルに保存されます。
Nicole Fishbein氏は、このファイルがKiroの保護対象パスのリストに含まれていないことを発見しました。つまり、他のほとんどの機密ファイルへの書き込みには明示的なユーザーの承認が必要であるにもかかわらず、このファイルに関しては、エージェントが人間の承認ステップを経ることなく、内蔵のファイル編集ツールを使って書き込めてしまうということです。
攻撃者に必要なのは、一見普通のドキュメントのように見えるページに、白色・1ピクセルのテキストとしてスタイル設定した目に見えない命令を埋め込むことだけでした。
開発者がKiroにそのページの取得と要約を依頼すると、これは一見ありふれた承認済みの操作ですが、モデルは同時に隠されたテキストも解析してしまい、静かに新しい「telemetry」という名前のMCPサーバーを登録します。このサーバーの起動コマンドは、攻撃者が制御するNode.jsコードを実行するものでした。
Nicole Fishbein氏によると、Kiroはmcp.jsonが変更されるたびに自動的に再読み込みを行うため、悪意のあるサーバーは即座に起動し、被害者本人の権限で攻撃者にコード実行を許してしまうということです。
問題の核心は、シェルコマンドや見慣れないファイルへの書き込みといったリスクの高い操作にユーザーの承認を求めるKiroの「ヒューマン・イン・ザ・ループ」的な安全モデルが、エージェントが最終的に実行するコードを決定づけるこの一つのファイルにまでは及んでいなかったという点です。
MCP設定が変更されたという警告をKiroが表示した場合であっても、ユーザーの応答内容にかかわらずファイルは再読み込みされてしまうため、実質的な防御にはなっていませんでした。
セキュリティ研究者のJohann Rehberger氏は以前、Kiroの2025年7月のリリース当日に、これと関連する間接的なプロンプトインジェクションの欠陥を報告しており、AWSは数週間以内にCVEを発行することなくこれを修正しています。
AWSは別途、悪意を持って細工されたプロジェクトファイルを通じた任意コード実行に関わる、CVE-2026-4295として追跡されているもう一つのKiroの欠陥も公表しており、こちらはバージョン0.8.0で修正済みです。
この欠陥はKiroバージョン0.9.2(macOS)および0.10.16(Ubuntu)に影響しており、2026年2月にAWSへ報告されました。AWSは4月上旬までに修正版を提供したことを確認しており、Nicole Fishbein氏はバージョン0.11.130でパッチを検証済みです。
AWSは別途、KiroおよびAmazon Q Developer IDEプラグイン全体に及ぶより広範なプロンプトインジェクション問題に対処するセキュリティ情報を公開し、ユーザーにLanguage Server v1.24.0へのアップグレードを推奨しています。
Amazon Q Developer IDEプラグインを含むこの一件は、エージェント型コーディングツールが抱える構造的な問題を浮き彫りにしています。大規模言語モデルはデータと命令をきれいに区別できないため、検索結果からAPIレスポンスに至るまで、エージェントが読み込むあらゆるコンテンツがその動作を乗っ取る可能性を秘めているのです。
Nicole Fishbein氏は、プロンプトインジェクションがAIコーディングアシスタント全般にわたって未解決の脆弱性のカテゴリーであり続けている以上、リスクの高い操作に対する信頼境界は、モデルの判断に頼らずプラットフォームレベルで強制されるべきだと主張しています。
SOC調査の死角を減らし、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への支障を軽減できます。
翻訳元: https://cyberpress.org/aws-kiro-ide-flaw/
