8月6日、HackReadが「Black Hat USA 2026: One GitHub Issue Could Compromise Major AI Coding Workflows」と題した記事を公開した。この記事では、Anthropic・Google・OpenAIのAIコーディングツールにGitHub Issueを起点とするRCEや認証情報窃取の脆弱性が発見されたことについて詳しく紹介されている。以下に、その内容を紹介する。

GitHubのIssueひとつで、AIエージェントが攻撃者の手駒になる

セキュリティ企業Novee Securityは、Black Hat USA 2026において、Claude Code・Gemini CLI・OpenAI Codexの3ツールに対するプロンプトインジェクション攻撃の実証研究を発表した。

攻撃の起点はリポジトリへのアクセス権を持たない外部ユーザーが開いたGitHub Issue、それだけだ。現代のAIコーディングワークフローは、IssueやPull Requestを読んで「重複報告の検出」「コードレビュー」「リポジトリ管理」などを自動実行する。その過程で、外部ユーザーが書いたテキストがコマンドライン操作や認証トークンへのアクセス権を持つエージェントに渡る。そこが狙われた。

最も深刻：Gemini CLIはCVSS 10.0

Googleのケースが最も評価スコアが高い。

Gemini CLIを使ったワークフローは、ツールの使用をechoとIssue閲覧コマンドのみに制限しているように見えた。しかし実際には、Gemini CLIはシェルツール全体を登録しており、実行時にコマンド単位の制限を適用していなかった。

さらに問題なのがプロセス間の秘密情報の扱いだ。子プロセスからは機密変数が削除されていたが、親プロセスであるGemini CLI自体はそれらを保持し続けた。そして両プロセスは同一ユーザー・同一プロセス名前空間で動作していたため、攻撃者はLinuxの/procファイルシステム（各プロセスの環境変数などを参照できる仮想ファイルシステム）を経由して親プロセスの環境変数を読み取り、GitHubトークン・Gemini APIキーなどの認証情報を入手できた。

Googleはこの問題をCVSSスコア10.0（最高値）のCriticalと評価。影響を受けるバージョンはGemini CLI 0.39.1未満、プレビュー版0.40.0-preview.3未満、run-gemini-cli GitHub Action 0.1.22未満。ただし影響範囲は、未信頼コンテンツを処理するヘッドレスワークフローに限定される。

Claude Codeは3度の修正が必要だった

Anthropicのケースは、修正と迂回が繰り返された点で興味深い。

Noveeがまず発見したのは、GitHub IssueにGit のreceive-packオプションを悪用した特殊なgit pushコマンドを埋め込む手法だ。Anthropicの検証をすり抜け、GitHub Actionsランナー上でコードを実行し、ワークフローのGitHubトークンとAnthropicのAPIトークンを窃取できた。GitHubトークンの権限次第では、ワークフローの改ざんやパッケージの改変公開も可能だった。

Anthropicがこのルートを塞いだ後、Noveeは別の方法（無制限のファイル読み取りとデータ窃取）を発見。さらに第三の問題として**CVE-2026-54316**が特定された。

CVE-2026-54316では、Claude CodeがHugging Faceへのアクセスをあらかじめ許可していることを悪用する。攻撃者は、ClaudeをHugging Face上の攻撃者制御リポジトリに対してリクエストを送らせ、窃取した情報をリクエストにエンコードして送信させる。攻撃者は自分が管理するリポジトリのダウンロード数を監視するだけで情報を復元できる、という巧妙な手口だ。

影響を受けるバージョンはClaude Code 0.2.54〜2.1.162。バージョン2.1.163で修正済み。

Codex：エージェント間でインジェクションが持続

OpenAIのCodexが使うIssue重複検出ワークフローは、同じ書き込み可能なワークスペース内で2つのエージェントを順番に実行していた。

Noveeが発見したのは、1つ目のエージェントを操作してAGENTS.mdファイルを生成させるという手法だ。CodexはこのファイルをプロジェクトのInstructionとして自動的に読み込む仕様になっているため、2つ目のエージェントは攻撃者が書いた内容を信頼できる指示として受け入れてしまう。1段目のエージェントの直接出力をワークフローが検証・拒否しても、ファイル経由でインジェクションが持続する点が問題の核心だ。

OpenAIは3日以内にリポジトリを修正し（エージェント実行を別ジョブ・別チェックアウトに分離し、読み取り専用環境に移行）、Codexサンドボックス自体はドキュメント通りに動作していたと説明した。ただし、この修正はOpenAI自身のリポジトリにのみ適用されており、同様の構成を使う他組織のワークフローは自動的には修正されない。Noveeは類似した構成を100以上の公開リポジトリで確認している。

対策

Noveeは以下の対処を推奨している。

• Claude Code・Gemini CLIの修正済みバージョンへの更新
• 公開IssueやPull Requestをトリガーとするワークフローの見直し
• 複数エージェントが書き込み可能ディレクトリを共有しない構成への変更
• 各タスクに必要な最小権限のみをトークンに付与

今回の研究はすべて制御された概念実証テストであり、実際の悪用は報告されていない。

詳細はBlack Hat USA 2026: One GitHub Issue Could Compromise Major AI Coding Workflowsを参照していただきたい。