セキュリティ研究者らが、Anthropic、Google、OpenAIが提供するAIコーディングエージェントのワークフローに影響する脆弱性を公表しました。
セキュリティ監査サービス
今回の研究は、攻撃者が操作可能なissueや権限を持たない入力によって、エージェントの「ハーネス」――モデルを取り巻く権限、ツール、サンドボックス、ファイルシステム、自動化の仕組み全般――における信頼境界がいかに突破され、コード実行、シークレットの窃取、ワークフローの侵害につながり得るかを明らかにしています。
Claude Code、Gemini CLI、OpenAI Codexに存在する重大な欠陥
今回の発見が重要なのは、各ベンダー自身のリポジトリをデフォルト設定のまま使い、攻撃経路を実際に再現できた点にあります。
Noveeの研究者Elad Meged氏は、あるコンポーネントが攻撃者の影響を受けたコンテンツや状態を「安全」とラベル付けし、それを受け取った後続のコンポーネントがより高い権限で解釈してしまうという失敗モードを説明しています。
CI/CD自動化においては、こうしたギャップによってリポジトリトークン、APIキー、書き込み権限を持つ認証情報が、信頼できないissue投稿者に露出してしまう恐れがあります。
Anthropicの Claude Code Action のタグモードにおいて、Noveeは、コマンド検証ツールからは隠された引用値を持つGitフラグを利用することで、承認済みのgit pushコマンドを悪用できることを発見しました。
GitHubのissueに仕込まれたプロンプトインジェクションのペイロードによって、ランナー上でリモートコード実行が引き起こされ、GITHUB_TOKENやANTHROPIC_API_KEYといったワークフローのシークレットへのアクセスにつながる可能性があります。
その後の回避手法は、読み取り専用コマンドとレポート出力の挙動を標的にしたものでした。Noveeの報告によれば、攻撃者はワークスペース外のファイルを読み取ることができ、可視化されたワークフロー出力や承認済みのウェブ送信先を利用してデータを外部に持ち出せるとしています。
Anthropicはすでに複数の修正を実施しており、最後に報告された問題にはCVE-2026-54316という識別子が割り当てられています。
Googleの run-gemini-cli Action は、コアツールをechoとgh issue viewに限定していました。しかし研究者らは、この設定が実行時にコマンドレベルの制限を強制することなく、フルシェルツールを登録していたことを発見しました。yoloモードでは、インジェクションされた命令によって任意のシェルコマンドが実行される可能性があります。
Gemini CLIは子プロセスの環境変数はサニタイズしていたものの、親プロセスにはシークレットが残ったままで、共有プロセス名前空間内の/procを通じてアクセス可能な状態でした。
これにより、侵害された子プロセスから認証情報を取得できてしまい、issueからリポジトリの乗っ取り、さらにはサプライチェーン改ざんへとつながる経路が生じます。
Googleはこの脆弱性をGHSA-wpqr-6v78-jr5g、CVSSスコア10.0と評価し、ヘッドレス実行における信頼モデルに大幅な変更を加えました。
OpenAIのCodexのケースでは、サンドボックスエスケープは必要ありませんでした。マルチパス方式のワークフローにおいて、最初のエージェントが共有ワークスペースへの書き込み権限を持った状態で、信頼できないissueのコンテンツを処理していました。
このパスによって、次回のCodex呼び出し時に読み込まれる命令ファイルAGENTS.mdが生成される可能性があります。そして、段階間の出力検証があるにもかかわらず、後続のより高い権限を持つエージェントが、この攻撃者によって書かれた命令に従って動作してしまう恐れがあります。
OpenAIはエージェントのパスを分離し、より制限的な実行環境を用いることでワークフローを強化しました。しかし全体を通して得られる教訓は明確です。信頼できないコンテンツを扱うエージェントが生成したファイルは、信頼できない入力として扱わなければならないということです。
防御側としては、影響を受けるリリースにパッチを適用し、信頼できない投稿者に開かれたトリガーパスを避け、別々のワークスペースとIDでエージェントの各段階を分離し、不要なトークンを削除し、実行時にツールの権限を強制すべきです。コーディングエージェントにおいては、プロンプトフィルタリングだけでなく、堅牢なアーキテクチャそのものを制御の要としなければなりません。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
マルウェア除去サービス
翻訳元: https://gbhackers.com/critical-flaws-in-claude-code-gemini-cli-and-openai-codex/
