AIコーディングアシスタントに任意のコードを実行される脆弱性「GhostApproval」が判明、主要6ツールに影響
要点
-
セキュリティ企業Wizの研究者が、AIコーディングアシスタント6製品に影響を与える脆弱性パターン「GhostApproval」を公表した。
-
攻撃者が用意した悪意あるプロジェクトをAIに読み込ませると、無害に見える承認画面の裏で、開発者のパソコンの重要なファイルが書き換えられる恐れがある。
-
この攻撃は、Unix系OSの「シンボリックリンク」機能の検証不足と、承認画面の不正確な表示（合意バイパス）を突いたものである。
-
影響を受けるツールのうちAmazon、Cursor、Googleは修正済みだが一部は未修正で、Anthropicはバグであることを否定している。
-
セキュリティ企業Wizの研究者は2026年7月8日、人気のAIコーディングアシスタント6製品において、開発者のコンピューターを不正に制御される恐れがある脆弱性パターン「GhostApproval」を発見したと発表した。この脆弱性を悪用されると、AIアシスタントが無害なファイルを編集するための承認を求めてきた際、実際には背後でSSHキーやシェル設定ファイルなどの機密ファイルが上書きされる危険性がある。現時点で、この脆弱性が実際の攻撃に悪用された形跡は確認されていない。
シンボリックリンクを悪用した攻撃の仕組み
GhostApprovalは、Unix系OSの「シンボリックリンク（symlink：別ファイルを指し示すショートカット）」を悪用する。AIアシスタントがファイル書き込み時にリンク先を検証しないことが原因だ。
Wizの実証リポジトリでは、無害に見える設定ファイル project_settings.json のシンボリックリンクを、被害者のSSHログインキーファイル（~/.ssh/authorized_keys）に向けて配置した。READMEでAIにそのファイルへの設定追加を指示し、値として攻撃者のSSH公開鍵を忍び込ませた。
開発者の指示でAIがリンク先を検証せず書き込みを実行すると、攻撃者のキーがログインファイルに直接書き込まれ、パスワードなしで不正ログインが可能になる。また、シェル起動ファイル（~/.zshrc）に書き込んで次回起動時にコードを自動実行させる手法もある。
開発者を欺く「承認画面」の不具合
リンクの悪用自体は古典的だが、Wizは本質が「承認画面の不備」にあると指摘する。開発者が変更を承認する仕組み（ヒューマン・イン・ザ・ループ：人間が最終判断に関与するプロセス）がありながら、画面の表示情報が不正確なため「合意バイパス（informed-consent bypass）」が発生しているという。
例えば「Claude Code」では、AIは操作対象が「実際にはzshの設定ファイルである」と認識していたが、承認画面には無害な project_settings.json の編集としか表示されず、開発者が気づかずに承認して上書きされる事態が起きた。
また「Windsurf」は承認ボタンを押す前に書き込みを完了しており、プロンプトは実質「元に戻す（undo）」機能だった。「Augment」にいたっては、確認なしで外部のAWS認証情報ファイルを読み取るデモが実証された。
各ベンダーの対応状況と対策
Wizの通知を受けた各ベンダーの対応状況は以下の通り。
- Amazon Q Developer: 修正済み（Language Server
1.69.0、CVE-2026-12958）。IDEのリロードで適用。 - Cursor: 修正済み（
v3.0、CVE-2026-50549）。拡張機能マネージャーからアップデートする。 - Google Antigravity: 修正済み（CVE保留中）。最新バージョンへアップデートする。
- Augment: 脆弱性を認めているが修正未提供。信頼できないリポジトリでの使用を避ける。
- Windsurf: 脆弱性を認めているが修正未提供。信頼できないリポジトリでの使用を避ける。
- Anthropic Claude Code: 脆弱性分類に反論。現行バージョンは警告を表示するよう強化されている。
脆弱性認定をめぐる議論
Anthropicは、開発者がセッション開始時にフォルダを信頼し編集を承認したため、今回のシナリオは「脅威モデルの対象外」で開発者の責任だという立場だ。また、警告機能は報告前の2月初旬に、セキュリティ強化策として導入済みだったと説明する。
対象6ツールの中で本件をバグではないとするのは同社のみだ。この対立した姿勢は、「一度信頼したリポジトリに対し、AIはどこまで保護措置をとるべきか」という、AI時代の新たなセキュリティ境界の議論を呼んでいる。