8月29日、Mike Vizardが「Cybersecurity Researchers Uncover Flaw in Google AI Coding Tool」と題した記事を公開した。セキュリティ企業Pillar SecurityのリサーチャーDan Lisichkinは、GitHubのバグ報告欄に「隠し命令」を埋め込んだIssueを1件投稿しただけで、GoogleのCIパイプライン用サンドボックスプロジェクトへのEditor権限（編集者レベルの制御）を奪取することに成功した。攻撃対象はGoogleのAIコーディングツール「Gemini CLI」が稼働するAIエージェント。オープンソースのツールを入り口に、クラウド環境のクレデンシャルを正規手続きの体裁で発行させるという手口は、AIコーディングツール時代のサプライチェーンリスクの深刻さを改めて突きつけている。

GitHubのバグ報告欄が攻撃の入り口に

Lisichkinが着目したのは、GoogleがGemini CLIの公開GitHubリポジトリへ寄せられたバグ報告を自動で読み取り・仕分けするために使っているAIエージェントだ。このエージェントはGemini CLIのセットアップコードを介して動作しており、Issueを自動トリアージ（優先度付け）する役割を担っていた。

Lisichkinが実際に行ったのは、隠し命令を埋め込んだ「バグ報告」をGitHubのIssueとして投稿することだけだ。元記事によれば、命令はHTMLコメントや白文字（白背景に白文字でレンダリングされ人間には視認困難な文字列）といった手法で本文中に隠蔽されており、AIエージェントのテキスト処理段階では命令として解釈される一方、人間のレビュワーには見えにくい形になっていた。AIエージェントがそのIssueを処理した瞬間、プロンプトインジェクションが発火した。

WIF経由で正規クレデンシャルを奪取

プロンプトインジェクション（Prompt Injection）とは、AIへの入力に悪意ある指示を紛れ込ませ、本来の意図と異なる動作をさせる攻撃手法だ。今回はこの攻撃によって、**Workload Identity Federation（WIF）**フレームワーク経由で正規のクレデンシャルファイルが発行され、リサーチャーはそれをコピーアウトすることに成功した。

WIF（Workload Identity Federation）は、Google Cloudが提供する仕組みで、外部のワークロード（GitHubアクションなど）がサービスアカウントキーを持たずにGoogle Cloudリソースへアクセスできるようにするものだ。キーレス認証を実現するための正規機能だが、今回はAIエージェントが不正な指示に従ってクレデンシャルを発行・漏洩させる経路として悪用された。

エージェントが処理の過程で発行・参照したクレデンシャルの大半は低権限のものだった。しかしそのうちの1つが、より高権限のサービスアカウントへのなりすまし（impersonation）を可能にするトークンを含んでいた。これを踏み台にリサーチャーは、CIパイプライン用のサンドボックスとして構成された内部GoogleプロジェクトへのEditor権限を獲得した。

※編集部の考察：元記事では「内部Googleプロジェクト」と表現されているが、文脈からはGoogleの本番インフラ全体ではなく、CIパイプライン用のサンドボックスプロジェクトを指すとみられる。タイトルの「Google内部クラウド」は攻撃の深刻さを示す表現として用いているが、Googleの中枢インフラへの無制限アクセスを意味するものではない点は留意されたい。

Lisichkinは「オープンソースツールを起点にプロプライエタリなクラウド環境を侵害した事例は珍しい」と指摘する。この脆弱性はすでに修正済みだ。

AIコーディング時代のサプライチェーンリスク

Lisichkinが警鐘を鳴らすのは、この一件が単なる孤立したインシデントではないという点だ。

悪意あるプロンプトは、AIコーディングツールがアクセスするほぼあらゆるWebページやメールに仕込むことができる。 一度埋め込まれれば、エージェントが次々とタスクをこなすたびに命令が伝播していく。理論上、ソフトウェアサプライチェーン全体をマシンスピードで侵害することも可能だ。

従来のサプライチェーン攻撃は、マルウェアを注入するために何らかの侵害が必要だった。しかし悪意あるプロンプトインジェクションは、「侵害」という行為そのものが不要だ。AIコーディングツールに対して「このコードにマルウェアを追加しろ」と指示するだけで、コードベースへの混入が完結しうる。

攻撃面の広さも従来とは質が異なる。GitHubのIssueトラッカー、プルリクエストのコメント、外部ドキュメントのリンク先、さらにはメール本文——AIエージェントが参照する可能性のあるあらゆるテキスト入力が、潜在的な攻撃ベクタになりうる。Lisichkinはこう述べている。DevSecOpsチームは、AIコーディングツールがアクセスするWebサイトやデータソースについて、従来よりはるかに細かく監視する必要がある。アプリケーション開発のスピードを落としてでも、サプライチェーンが侵害されていないか定期確認するフローが求められるだろう。

同月に2件目の脆弱性も報告

今回はPillar Securityが今月公表したGoogle AI関連の脆弱性のうち2件目だ。

1件目は、GoogleのAgent Development Kit for Python（adk-python）のリポジトリに存在したプロンプトインジェクション。外部向けAIエージェントを悪用し、プロジェクトメンテナー向けの高権限でワークフローを実行させることに成功した例だ。リモートコード実行やクレデンシャルの漏洩につながりうるもので、Googleはその後リポジトリを強化し、影響を受けるワークフローを削除して修正を確認している。

AIエージェントが別のAIエージェントをハックする——その最初の実証事例とされる報告と、今回のGemini CLI経由のCloud侵害が同月に並んだ事実は、AIコーディングツールを取り巻くセキュリティの現状を端的に示している。OWASPのLLMアプリケーション向けTop 10でもプロンプトインジェクションは最上位リスクに位置づけられており、エージェント型AIの普及とともにその脅威面はさらに拡大していくとみられる。

詳細はCybersecurity Researchers Uncover Flaw in Google AI Coding Toolを参照していただきたい。