AmazonのAI開発環境「Kiro」に脆弱性、プロンプトインジェクションで機密データが外部流出する恐れ

要点

• AmazonのAIエージェント型統合開発環境「Amazon Kiro」において、プロンプトインジェクションを通じて機密データが外部へ流出する脆弱性が報告された。

• セキュリティ企業Mindguardの調査により判明したもので、Windows版「Kiro IDE 0.7.45」において再現性が確認されている。

• 攻撃者が細工したワークスペースファイルを開き、エージェントへ発言するだけで、ユーザーが悪意ある入力をしなくても情報が送信される。

• Amazonは責任ある情報開示を受けて修正を実施し、バージョン0.8.140で本脆弱性への対処を完了している。

• サイバーセキュリティ企業Mindguardの研究チームは2026年8月27日、Amazonが提供するAIエージェント型統合開発環境（IDE）「Amazon Kiro」に、機密データを外部へ不正送信される脆弱性が存在することを明らかにした。本脆弱性は、AIモデルへの不正な指示注入であるプロンプトインジェクションと、Kiroの独自機能「Kiro Powers」を組み合わせて悪用されるもので、攻撃難易度は「低」と評価されている。Amazonはすでに修正パッチを提供しており、現行の最新バージョンでは安全性が確保されている。

細工されたワークスペースの読み込みとメッセージ送信で発動

Mindguardのセキュリティ研究者であるファーガル・グリン（Fergal Glynn）氏の報告によると、本脆弱性はWindows版の「Kiro IDE 0.7.45」で確認された（なお、IDE自体の最新バージョンは1.0.337である）。本脆弱性に個別のCVE番号は割り当てられていない。

攻撃を成立させるには、被害者側で2つの操作が必要となる。まず、攻撃者が用意したプロジェクトを通常のフォルダ直接指定ではなくメニューの「File → Open Workspace From File」経由で開くこと、そしてKiroのAIエージェントに対して何らかのメッセージを送信することだ。

特筆すべきは、ユーザー側が悪意あるプロンプトを入力したり、攻撃者の仕込んだファイルを参照したりする必要がない点だ。プロジェクトを開いた後に日常的な会話を送信するだけで、ユーザーがデータのアクセスや送信を要求していないにもかかわらず、ワークスペース内の機密データが攻撃者の外部エンドポイントへ送信されてしまう。なお、この脆弱性は信頼済みワークスペースと非信頼ワークスペースのどちらの設定でも再現可能だという。

「Kiro Powers」とステアリングファイルが悪用される仕組み

Kiroには、開発環境を拡張するための「Kiro Powers」という機能が備わっている。これは、AIと外部ツールを接続する規格「Model Context Protocol（MCP）」のサーバー設定やフック、コンテキスト情報、そして「POWER.md」と呼ばれるステアリングファイルを一括管理する仕組みだ。ステアリングファイルとは、AIエージェントに利用可能なMCPツールや利用すべきタイミングを指示する、いわば導入マニュアルのような役割を果たす設定ファイルを指す。

Mindguardの分析によれば、本脆弱性は攻撃者が制御するリポジトリ内のデータがAIへの指示として解釈され、それがIDE内のセキュリティ上重要な処理に影響を与えることで発生する。

一連の処理において「信頼境界の破綻」が生じるという。具体的には、リポジトリ内のデータがエージェントに影響を与えてローカルの機密情報を読み取らせ、エージェントがその情報をセキュリティ関連のIDE設定へ書き込み、最終的にIDE側の機能がその変更された設定をネットワーク通信へと変換して外部へ送信してしまうというプロセスをたどる。

バージョン0.8.140で修正、AIツール全般で相次ぐ類似リスク

Amazonは責任ある情報開示の手続きを受け、Kiro IDEのバージョン0.8.140において本脆弱性の修正を実装した。今回の問題は、ステアリングファイルの指示によってローカル情報をMarkdown形式の画像リクエストに埋め込み、外部サーバーへ送信させていた過去の不具合を発展させたものだという。

Kiroにおけるセキュリティ問題の報告は今回が初ではない。2026年6月にも、細工された指示によって「.vscode/tasks.json」や「~/.kiro/settings/mcp.json」などの実行関連パスへの書き込みを引き起こし、フォルダを開いた際に遠隔から任意のコマンドが自動実行されるアクセス制御の不備（CVE-2026-10591、CVSSスコア：8.8）が修正されていた。セキュリティ企業Intezerは当時、「開発者がKiroに正当な操作を依頼しただけでも、警告ダイアログなしにMCP設定が改ざんされ、任意コードが実行される状態だった」と指摘している。

また、こうしたAI開発ツールを巡るセキュリティの懸念は他社製品でも相次いでいる。Windows版「OpenAI Codex CLI」ではweb.runを介したプロンプトインジェクションによりサンドボックス外でコマンドが実行される攻撃チェーンが報告されたほか、「Cursor CLI」でも間接的なプロンプトインジェクションにより悪意ある実行ファイルを配置・実行させるゼロクリックのリモートコード実行（RCE）脆弱性が発見されている。AI開発環境がコードの解釈と実行を同一ワークフロー内で統合するにつれ、リポジトリ内のデータが意図せず特権的な処理へと波及するリスクが浮き彫りとなっている。