OWN NEWS GATHER
← 戻る
The Hacker News

AIコーディング支援ツールの脆弱性が判明、GitHubのIssue経由でCI環境の秘密情報が窃取される恐れ

要点

  • セキュリティ企業Novee Securityが、Anthropic、Google、OpenAIのAIコーディングツールにおける脆弱性を公表した。

  • Googleの「Gemini CLI」では、OSコマンドの実行を許す最悪値（CVSSスコア10.0）の深刻な脆弱性が発見された。

  • Anthropicの「Claude Code」では、機密情報であるAPIキーが外部に漏洩する脆弱性が特定され、修正された。

  • OpenAIの「Codex」では、Issueの作成により次回の実行時の指示を乗っ取られる問題が判明し、設定変更などで対処された。

  • 脆弱性の多くはAIモデルそのものではなく、AIとシステムをつなぐ制御コード（ハーネス）の設計不備に起因していた。

  • AI（人工知能）を用いたソフトウェア開発が急速に普及する中、開発を支援するAIコーディングツールの安全性を揺るがす脆弱性が明らかになりました。セキュリティ企業Novee Securityは、Anthropic、Google、OpenAIが提供するツールの検証結果を、2026年8月5日に開催されたセキュリティカンファレンス「Black Hat USA」で発表しました。これらの脆弱性が悪用されると、権限を持たない第三者がGitHub上でIssue（開発における課題や要望を管理する機能）を起票するだけで、ビルドやテストを自動化するCI（継続的インテグレーション）環境の実行端末でコードを実行されたり、機密情報を盗み出されたりする恐れがあったと報告されています。

権限なしのIssue起票から攻撃が成立

Novee Securityの調査によると、各ベンダーがデフォルト（初期状態）で提供している設定において、リポジトリ（ソースコードの管理場所）へのアクセス権限を持たないアカウントからGitHubのIssueを開くだけで攻撃が実行可能でした。今回の報告に伴い、すでに2件のCVE（共通脆弱性識別子。セキュリティ上の欠陥に割り当てられる世界共通の識別番号）が発行され、修正パッチが公開されています。

特に深刻なのが、Googleの「Gemini CLI」に存在する脆弱性「CVE-2026-12537」です。共通脆弱性評価システム（CVSS v4。脆弱性の深刻度を数値化して評価する基準）で最も深刻度が高い「10.0」と判定されています。
この問題は、コンテナを起動するプログラム内のOSコマンドインジェクション（プログラムの隙を突いて意図しないシステムコマンドを実行させる攻撃手法）に起因します。悪意を持って作成された「.gemini/.env」ファイルを読み込ませることで、安全な隔離環境であるサンドボックス（外部から隔離された安全な仮想実行環境）が起動する前に、ホストであるCIプラットフォーム上で任意のコードが実行されてしまう状態になっていました。この問題は、Gemini CLIのバージョン 0.39.1 および run-gemini-cliのバージョン 0.1.22 で修正されています。

APIキーを1文字ずつ外部へ漏洩させる「Claude Code」の脆弱性

Anthropicが開発する「Claude Code」では、脆弱性「CVE-2026-54316」が修正されました。この脆弱性は、信頼できないコンテンツをClaude Codeのコンテキスト（AIが文脈として読み込む情報）に取り込ませることで発生します。
Novee Securityの検証では、機械学習コミュニティサイト「Hugging Face」の公開ダウンロードカウンターを踏み台（漏洩経路）として悪用し、APIキーを1文字ずつ外部に流出させる攻撃手法が実証されました。
この脆弱性は、バージョン 0.2.54 から 2.1.163 までのすべてのリリースに影響し、バージョン 2.1.163 で修正されています。なお、深刻度について、AnthropicはCVSS v4で「Moderate（中程度）」の6.0と評価していますが、米国国立脆弱性データベース（NVD）はCVSS v3.1で「9.1（緊急）」と評価しており、評価基準によって数値に差が出ています。

OpenAI「Codex」では指示ファイルの書き換えによる挙動の乗っ取り

OpenAIの「Codex」リポジトリにおける調査では、特定の製品バージョン向けの修正パッチやCVEは発行されませんでした。OpenAIは「サンドボックスは仕様通りに動作している」との立場を取っています。
しかし、Novee Securityは、同一の実行ジョブ内で同じソースコード展開を共有したままCodexを2回連続で動作させている仕組みの不備を指摘しました。1回目の動作で、AIへの命令が記載された設定ファイル「AGENTS.md」を書き換えて検証を意図的にエラーにすることで、2回目の動作時にAIの指示内容を丸ごと乗っ取ることが可能になっていました。
現在、OpenAIは実行プロセスを異なるジョブに分離し、Codexの実行権限を下げて（drop-sudo）読み取り専用のサンドボックス内で動作させるようにワークフローを改訂しています。また、開発者向けドキュメントも更新され、リポジトリ内の指示ファイル自体を「信頼できない入力の一部」として扱うよう注意を促しています。

AI本体ではなく「制御コード（ハーネス）」の実装不備が共通原因

Novee Securityの創設エンジニアであるエラド・メゲド氏は、「ハーネスとは、AIモデルと現実世界をつなぐコードである」と言及しています。今回の分析によると、3社すべてのツールにおいて、AIモデルに指示を与えるプロンプトインジェクション（悪意ある入力によってAIに意図しない出力をさせる攻撃）ではなく、モデルの周囲を制御する「ハーネス」の実装不備が共通の根本原因であったと説明されています。
具体的には、プログラムのある部分で「この入力値は安全である」と判定したにもかかわらず、その後の処理でより強い権限を使ってその値をそのまま実行してしまうという、権限のミスマッチが発生していました。
例えば、Claude Codeではコマンドの検証時にシングルクォーテーションで囲まれたテキストを除去する処理を行っていましたが、これにより git push のオプションである --receive-pack に仕込まれた悪意あるコードの検知をすり抜け、そのまま実行環境に到達していました。また、Gemini CLIでは、許可されたツールのリストの検証が登録時にしか行われておらず、さらに「--yolo」モードではAIからの指示が検証なしで自動承認される仕様になっていました。

現時点での悪用状況

現時点で、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、これらの脆弱性が実際に悪用された事例はないとしており、「既知の悪用された脆弱性（KEV）」カタログにも登録されていません。また、6月中旬からClaude Codeの脆弱性を再現するための検証用リポジトリがGitHubに公開されていますが、実害は報告されていません。
しかしながら、関連する動きとして、8月4日にはnpm（JavaScript向けのパッケージ管理システム）のパッケージを標的としたワーム「ChainDrop」の攻撃者が、Claude Codeの起動フック（SessionStart）やVS Codeのフォルダオープン時の自動実行タスク（folderOpen）を仕込む攻撃を行っていたことがPillar Securityにより報告されています。開発者は、外部から起動されるワークフローやリポジトリの検証について、改めて適切な設定が行われているか注意を払う必要があります。

元URL