研究者らは、AnthropicとGoogle、OpenAIのAIコーディングエージェントに重大な欠陥を発見しました。悪用されれば、認証情報の窃取、リモートコード実行(RCE)、サプライチェーン攻撃につながる恐れがあります。
eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性を保っています。当サイトの リンクを経由してパートナーサイトをクリックいただくことで、収益が発生する場合があります。 詳しくはこちら
セキュリティ研究者らは、AnthropicとGoogle、OpenAIのAIコーディングエージェントに影響する重大な脆弱性を公表しました。これらの脆弱性は、たった一つの信頼できないGitHubのIssueを介して、攻撃者が自動化された開発ワークフローを侵害できることを示すものです。
Black Hat USA 2026でNoveeが発表した研究によれば、これらの欠陥は各ベンダー自身のリポジトリでデフォルト設定のまま運用されている環境で発見されたとのことです。
このことは、同様のAIエージェント自動化を利用している組織も、同じようなリスクに直面しうることを示唆しています。
重要ポイント
- 研究者らが重大な欠陥を発見：Anthropic、Google、OpenAIのAIコーディングエージェントに、単一の悪意あるGitHub Issueを通じた攻撃を可能にする欠陥が見つかりました。
- 脆弱性はAIエージェントのワークフローに影響：リモートコード実行、認証情報の窃取、サプライチェーン侵害を可能にするものでした。
- 3社すべてが緩和策をリリース</b：ただし、同様のデフォルト設定を使用している組織は依然としてリスクにさらされている可能性があります。
- 組織はAIエージェントのワークフローを強化すべき：最小権限の原則、実行環境の分離、継続的な監視が求められます。
AIコーディングエージェントの脆弱性一覧
| ベンダー | AIコーディングエージェント | 実証された主なリスク | ベンダーの対応 |
| Anthropic | Claude Code | プロンプトインジェクションによるリモートコード実行と認証情報の窃取 | 複数のパッチをリリースし、CVE-2026-54316を採番 |
| Gemini CLI | 実行制限の回避による認証情報窃取、およびサプライチェーン侵害の可能性 | CVSSスコア10.0と評価し、非対話型実行環境における信頼モデルを変更 | |
| OpenAI | Codex | 書き込み可能なAGENTS.mdワークフローファイルを介した持続的なプロンプトインジェクション | リポジトリのワークフローを強化し、AGENTS.mdを信頼できない入力として文書化 |
研究者らが共通の攻撃パターンを特定
モデルそのものの挙動を悪用するのではなく、研究者らはAIエージェントを取り巻くソフトウェアハーネスに繰り返し現れる弱点を発見しました。
これらのハーネスは、ツールへのアクセス、権限、実行、メモリ、ワークフローのオーケストレーションを管理しており、組織の攻撃対象領域の重要な一部となっています。
研究者らが実証したのは以下の内容です。
- ベンダー管理下のランナー上でのリモートコード実行(RCE)。
- APIキー、GitHubトークン、その他の認証情報の窃取。
- 下流の利用者に影響を及ぼすソフトウェアサプライチェーンの侵害。
- 書き込み可能なワークフローファイルを介したエージェントの持続的な乗っ取り。
研究者らは、この問題がテスト対象となったリポジトリに限定されるものではないと強調しています。
各ベンダーが同様のデフォルト設定を採用して出荷していることから、これらのコーディングエージェントを自動化ワークフローで利用している組織も、同じ脆弱性を抱えている可能性があります。
デフォルトのワークフローが侵害を可能にしていた
今回の研究では、AnthropicのClaude Code、GoogleのGemini CLI、OpenAIのCodexが、それぞれのベンダー自身のGitHubリポジトリ上で稼働している状況を検証しました。
Anthropicについては、GitHubのIssueを介して送り込まれたプロンプトインジェクションがリモートコード実行につながり、攻撃者が任意のファイルを読み取ってGitHubおよびAnthropicのAPI認証情報を窃取できることを研究者らが示しました。
Anthropicは、この開示プロセスを通じて複数のパッチを発行し、最終的にCVE-2026-54316を採番しました。
GoogleのGemini CLIに関する研究では、制限付きシェルコマンドや環境の分離に関する前提が回避可能であることが示されました。
その結果生じる攻撃チェーンは認証情報の窃取を可能にし、最終的にはソフトウェアサプライチェーンの侵害にもつながりかねないものでした。
Googleはこの問題をCVSSスコア10.0と評価し、非対話型の実行環境における信頼モデルに破壊的変更を導入しました。
OpenAIのCodexについては、書き込み可能なAGENTS.mdファイルによって、攻撃者が仕込んだ指示が自動化ワークフローの複数の段階にわたって持続してしまうことを研究者らが発見しました。
OpenAIはワークフローの各段階を分離し、このファイルを信頼できない入力面として文書化することで自社リポジトリを強化しましたが、研究者らは同様の複数段階ワークフローを利用している組織は依然として脆弱である可能性があると警告しています。
組織はAIエージェントのワークフローを見直すべき
研究者らは、これらの脆弱性が個別の実装ミスによるものではなく、AIエージェントのハーネス内部に潜む暗黙の信頼前提に起因すると結論づけています。
AIコーディングエージェントを導入している組織は、以下を実施すべきです。
- 自動化された動作に影響を及ぼしうる信頼できない入力がないか、AIエージェントのワークフローを点検する。
- 最小権限の原則に基づき、AIエージェントに付与する権限を制限する。
- ワークフローの各段階を分離し、エージェントの実行間で書き込み可能なワークスペースを共有しないようにする。
- 明示的に検証されない限り、ワークフローが生成したファイルは信頼できない入力として扱う。
- ソフトウェアや依存関係、デフォルト設定の変化に応じて、AIエージェントの挙動を継続的に検証する。
- AIを活用したCI/CDパイプラインを監視し、不正な実行、認証情報へのアクセス、ワークフローの改ざんを検知する。
- AIエージェントおよびソフトウェアサプライチェーンの侵害シナリオを想定したインシデント対応計画をテストする。
AIエージェントのセキュリティはモデル自体にとどまらない
今回の研究は、AIエージェントを保護するには、基盤となるモデルそのものと同じくらい、それを取り巻く自動化インフラの保護が重要であることを示しています。
組織が開発・運用のワークフローにAIを組み込む動きを強める中、エージェントの権限や実行環境、信頼境界に対する強固なガバナンスが、企業リスクを低減するうえで不可欠となるでしょう。
