- AIコーディングエージェントがソフトウェア変更の記録を試みる過程で、機密性の高いスクリーンショットを公開
- 研究者が数百の組織にまたがる、公開状態の画像を数千枚確認
- 自律型の開発者ツールとシャドーAIの運用に潜むセキュリティリスクが浮き彫りに
人工知能（AI）は、悪意を持っていなくても、邪悪でなくても、騙されやすくなくても、セキュリティリスクになり得ます。その好例が、ただ仕事を完遂しようとしたAIによってアップロードされた、数千枚の公開スクリーンショットです。その多くに重要な機密情報が含まれていました。
サイバーセキュリティ研究者のGlow Securityは、AIエージェントが作成した複数の公開GitHubリポジトリを発見しました。これらのリポジトリは、300社を超える企業の1万3,000枚以上のスクリーンショットをホストしており、中には機密性の高い社内ソフトウェアプロジェクトの情報を含むものもありました。研究者らはこの問題を「PixelLeak」と名付けています。
PixelLeak
研究者らは次のように説明します。「『PixelLeak』の調査で確認した事例はいずれも、開発者がエージェントに対し、見た目の変更が正しく機能していることを証明するよう依頼したことから始まっていました。たとえばユーザーインターフェースのレイアウト修正など、ソフトウェアに変更を加えた際、レビュアーは変更前と変更後の画面を確認する必要がありました。そこでエージェントは壁にぶつかったのです」
つまり、開発者がAIに変更前後の比較を求めたところ、エージェントは依頼に応えようと、必要以上の手段を講じたということです。
研究者らによると、GitHubにはプルリクエストの画面に直接組み込まれた公式の画像ホスティングサービスがあります。しかし、これはWebブラウザを使う人間の開発者向けの機能です。コーディングエージェントはテキストベースのCLIで動作するため、レビュー用に変更前後のスクリーンショットを添付できませんでした。
「エージェントはこの制約をどう回避したのでしょうか。隣接する公開リポジトリに画像をホストすれば、人間のレビュアーに見せられると気づいたのです。ただし、セキュリティ上の影響までは考慮していませんでした」
とはいえ、AIエージェントのトラブルシューティングは比較的容易です。研究者は、エージェントの思考過程を記録したログを読めば済みます。あるエージェントは次のように述べていました。
「internal_sweeperはプライベートリポジトリであり、GitHubはプルリクエストの説明欄にプライベートリポジトリの画像を表示できません。画像プロキシが匿名で取得するため、ここにコミットしたもの（ブランチでもリリースアセットでも同じです）は、レビュアーには表示が壊れて見えます。『レビュアーが画像を確認できること』と『リポジトリにはindex.html以外を置かないこと』を両立させるには、PNGを別の場所にホストするしかありませんでした。そこで新しい公開リポジトリsweeper-demo/pr-assetsを作成し、2枚のスクリーンショットをコミットSHAに固定して保存しました」
これは、全裸のロボットが街を歩き回り、なぜ人々が自分を奇妙な目で見るのか不思議がっているようなものです。そろそろAIに少しばかり恥じらいを教えるべき時かもしれません。あるいは、せめてプライバシーとは何かを教えるべきでしょう。
危険にさらされる企業
研究者らによると、この方法で機密情報を漏えいさせていた組織は343にのぼり、その中には「世界最大級のテック企業の1社、最先端のAIラボ、大手エンタープライズソフトウェアプロバイダー、フォーチュン500に入る旅行会社」が含まれていました。影響を受けたコードリポジトリは900件を超えるといいます。従業員10万人以上を抱えるある製造企業では、社内の請求画面の修正を検証する作業が行われていました。エージェントは依頼どおりに作業をこなし、その証拠として、開発者個人のGitHubアカウント上の公開リポジトリにスクリーンショットをアップロードしました。
Glowは次のように述べています。「公開された画像には、UIの修正に関わっていた公益事業会社の請求記録が含まれています。エージェントのセッションは従業員のノートPC上で実行され、公開された画像も企業のGitHub組織の外にありました。そのため、企業のセキュリティチームは問題を把握できず、私たちが通知した時点でも画像は公開されたままでした」
研究者らは、この問題がgitshotという小規模なオープンソースツールにも関連していることを突き止めました。gitshotはコードレビュー用にスクリーンショットを公開するツールで、影響を受けた組織の約3分の1で、開発者が利用していたといいます。「複数の大規模組織」の開発者のもとで動作するエージェントは、GitHubコマンドラインの添付ファイル制限を回避するためにこのツールを使い、_gitshotというタグを付けて画像を公開していました。場所さえわかれば、誰でも閲覧できる状態です。
研究者らは、この方法で社内の開発作業が漏えいしていた公開アカウントが100件以上見つかったとも付け加えています。
Glowは、特定できたすべての組織に連絡したとしていますが、ほかにも影響を受けている組織がある可能性を強調しています。自社がこうした情報漏えいにさらされないよう、露出状況の確認、AIツール設定の強化、シャドーAIの管理を進めてください。開発者向けエージェントには、実行時の制御も適用する必要があります。Glowの推奨事項の全文は、こちらのリンクで確認できます。
