Anthropic、Google、OpenAIが提供するAIコーディングエージェントのワークフローに新たに発覚した重大な欠陥により、未認証の攻撃者が悪意あるGitHub issueを悪用してリモートコード実行(RCE)、認証情報の窃取、エージェントの永続的な乗っ取り、あるいはソフトウェアサプライチェーンの侵害を引き起こせる可能性があることが分かりました。
Noveeのセキュリティ研究者であるElad Meged氏は、これらの脆弱性が各ベンダー自身の公開リポジトリ上で稼働するデフォルト設定において確認されたと述べています。
共通する問題は基盤となる言語モデル自体ではなく、エージェントの「ハーネス」、つまりモデルを取り巻く権限ロジック、ツールのルーティング、サンドボックス制御、共有ワークスペース、実行環境にありました。
今回の調査では、コーディングエージェントを単にプロンプトに応答するモデル以上の存在として捉えています。CI/CDやリポジトリの自動化においては、エージェントがissueを読み取り、ソースコードを検査し、ツールを実行し、ファイルを変更し、ワークフローの認証情報にアクセスすることが可能です。
こうしたコンポーネント間の受け渡しの一つひとつがセキュリティ境界を形成しますが、今回報告された事例では、攻撃者が制御する入力がその境界を、想定以上の権限を持った状態で越えてしまっていました。
実証された攻撃経路は、信頼できないGitHub issueまたはワークフロー入力から始まります。プロンプトインジェクションのペイロードが、ツールへのアクセス権や書き込み可能なワークスペースを持つエージェントに影響を及ぼします。
実装内容によっては、この影響がコマンド実行、シークレットへのアクセス、あるいは後続のより高い権限を持つエージェント実行に対する永続的な指示の埋め込みにつながる可能性があります。
Noveeによると、100以上の公開リポジトリで同様のパターンが確認されたとのことです。今回の調査は公開GitHubワークフローに焦点を当てていますが、この核心的なリスクは、外部から制御可能なテキストを強固な隔離なしに処理するあらゆる自動化処理に当てはまります。
Anthropic社のClaude Code Actionについて、研究者らはデフォルトのツール権限とコマンド検証の前提に関わる一連の回避手法を説明しています。
最初のケースでは、緩やかなgit pushルールによって許可されたコマンドが、Gitによって意図しない形で解釈され、GitHub Actionsのランナー上でのコード実行につながった可能性があると報告されています。
その後の調査では、任意のファイル読み取りや、レポート出力および許可されたWebリクエストを通じたワークフローシークレットの露出も可能だったとされています。
Elad Meged氏は、影響を受けるワークフローがGITHUB_TOKENやANTHROPIC_API_KEYといった認証情報を露出させる可能性があり、そのトークンに書き込み権限がある場合はリポジトリの改ざんにつながりかねないと述べています。
Anthropicはこれらの指摘に対して複数の修正を実施し、この調査に関する報道によれば、最終的な開示ラウンドにはCVE-2026-54316が割り当てられています。
GoogleのGemini CLIの事例では、二つの誤った前提が組み合わさっていました。一つは、制限されているように見えて実行時には強制されていなかったシェルツール、もう一つは子プロセスからのみシークレットを除去し、親プロセス側には残したままの環境変数サニタイズ処理です。
Elad Meged氏の報告によると、侵害された子プロセスがLinuxのプロセスインターフェースを通じて親プロセスの環境変数にアクセスでき、本来隔離されているはずの認証情報を取得できてしまうとのことです。
これが自動化されたワークフロー内での無制限のコマンド実行と組み合わさることで、リポジトリの侵害や悪意あるパッケージの公開につながる可能性がありました。
GoogleはこのissueをCVSS 10.0と評価し、ヘッドレスのGemini CLI実行およびrun-gemini-cli GitHub Actionに関して、互換性を破る形での信頼モデルの変更を実施しました。
OpenAIのCodexに関する指摘は、書き込み可能なチェックアウトを共有する複数段階のワークフローに関わるものでした。信頼できない入力を処理する最初のエージェント実行がAGENTS.mdファイルを書き込み、後続のCodex実行がそのファイルを信頼できる指示として読み込んでしまう可能性がありました。OpenAIは自社のワークフローにおいて、エージェントの各段階を分離し読み取り専用の環境へ移行することで対策を強化しています。
同様の複数パス方式を採用している組織は、ジョブの分離、書き込み可能な共有状態の回避、トークン権限の最小化、そしてエージェントが読み取り可能なすべてのファイルを信頼できない入力として扱うといった、同等の対策を自ら講じる必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/critical-flaws-in-claude-code-gemini-cll-openai-codex/
