8月7日、GBHackersが「Critical Flaws in Claude Code, Gemini CLI, and OpenAI Codex Enable RCE and Supply Chain Attacks」と題した記事を公開した。Anthropic・Google・OpenAIという三大AIベンダーのコーディングエージェントがいずれも同じ構造的欠陥を抱えており、GitHubのIssueに悪意あるテキストを一行書き込むだけでCIのシークレットを丸ごと奪われうる——そのことが研究者によって同時に実証されたのである。AIコーディングエージェントのCI/CD統合が急速に普及するなか、「エージェントに権限を与えるとはどういうことか」を問い直す重大な報告だ。

3社のAIコーディングツールに同時に脆弱性

セキュリティ研究者らがAnthropicのClaude Code、GoogleのGemini CLI、OpenAIのCodexという3つの主要AIコーディングエージェントに共通する脆弱性を公開した。

発見したのはセキュリティ企業Noveeの研究者Elad Megedで、詳細はNoveeのブログにも掲載されている。いずれも各ベンダー自身のリポジトリをデフォルト設定で動作させた状態で攻撃経路が実証されており、特殊な環境を前提としない点が重大だ。

攻撃の本質は「信頼境界の破壊」にある。AIエージェントの「ハーネス」（エージェントを囲む権限・ツール・サンドボックス・ファイルシステム・自動化の総体）において、あるコンポーネントが攻撃者の制御下にあるコンテンツを安全と判定し、後続のコンポーネントがより高い権限でそれを解釈・実行してしまう構造的な問題だ。この攻撃手法はプロンプトインジェクションと呼ばれる——外部から入力されるテキスト（IssueのコメントやREADMEなど）に隠し命令を埋め込み、AIモデルを意図しない動作に誘導する手口である。CI/CDパイプラインでこれが起きると、リポジトリトークン・APIキー・書き込み権限を持つ認証情報が、信頼されていないIssue投稿者に漏洩しうる。

近年、GitHub ActionsやGitLab CIにAIコーディングエージェントを組み込み、IssueやPull Requestを自動処理させるワークフローが急速に普及している。こうした統合が標準化されるにつれ、エージェントが保持する権限の範囲も拡大しており、今回の脆弱性はそのトレンドが生み出した構造的なリスクを正面から突くものだ。

各ツールの脆弱性詳細

Claude Code：Gitフラグを悪用したRCE（CVE-2026-54316）

AnthropicのClaude Code Action（タグモード）では、承認済みのgit pushコマンドをGitフラグ経由で悪用できることが判明した。コマンドバリデーターからは見えない形で引用されたフラグ値が、Gitによって後から実行される仕組みを突いたものだ。

GitHubのIssueにプロンプトインジェクションのペイロードを仕込むだけで、CIランナー上でのリモートコード実行（RCE）が可能となり、GITHUB_TOKENやANTHROPIC_API_KEYといったワークフローのシークレットにアクセスできる。さらに後続の調査で、ワークスペース外のファイルの読み取りや、承認済みの外部送信先を通じたデータ窃取も可能であることが示された。

Anthropicは複数の修正を適用済みで、本脆弱性にはCVE-2026-54316が割り当てられている（元記事に記載のCVE番号をそのまま転記している）。パッチ適用後の最新バージョンを使用していれば、現時点では修正済みの状態にある。

Gemini CLI：シェルツールの制限漏れとCVSS 10.0

Googleのrun-gemini-cli Actionは、利用できるツールをechoとgh issue viewのみに制限していた。しかし実際には、設定時にフルシェルツールを登録しており、実行時のコマンドレベルの制限が機能していなかった。

yoloモード（ユーザー確認なしに全操作を自動承認するモード）では、注入された命令で任意のシェルコマンドを実行可能だ。さらにGemini CLIは子プロセスの環境変数をサニタイズしていたものの、親プロセスはシークレットを保持したまま共有プロセス名前空間内の/proc経由でアクセス可能な状態にあった。これにより、侵害された子プロセスから認証情報を回収でき、リポジトリの乗っ取りとサプライチェーン改ざんへの経路が開かれていた。

Googleはこの脆弱性をGHSA-wpqr-6v78-jr5gとして、CVSSスコア10.0（最大値）と評価した。これはCVSS（共通脆弱性評価システム）において理論上の最高深刻度であり、ネットワーク越しに認証なしで完全な権限奪取が可能な脆弱性に与えられるスコアだ。Googleはヘッドレス実行のトラストモデルに大幅な変更を加えており、現在は修正済みのバージョンが提供されている。

OpenAI Codex：サンドボックス脱出不要のエージェント間攻撃

OpenAIのCodexのケースは、サンドボックス脱出すら不要だった点で異質だ。マルチパスのワークフローにおいて、最初のエージェントが信頼されていないIssueのコンテンツを処理しながら、共有ワークスペースへの書き込み権限を持っていた。

この最初のパスでAGENTS.md（次回のCodex呼び出し時に読み込まれる命令ファイル）を生成することができる。ステージ間に出力バリデーションが存在するにもかかわらず、より高い権限を持つ後続エージェントが攻撃者の書いた命令を実行してしまう。これは「エージェント間のプロンプトインジェクション」とも言うべき攻撃で、外部からのシェル実行を一切必要としない。

OpenAIはエージェントパスの分離と制限的な実行環境の採用で対処しており、現在は修正済みだ。ただし根本的な教訓は明確である。信頼されていないコンテンツを扱うエージェントが生成したファイルは、すべて信頼されていない入力として扱わなければならない。

防御のための対策

研究者らは以下の対策を推奨している。

• 影響を受けるリリースへのパッチ適用（3社とも修正済みバージョンを提供中）
• 信頼されていない貢献者がトリガーできるパスの無効化
• 別々のワークスペースとIDによるエージェントステージの分離
• 不要なトークンの削除
• 実行時のツール権限の強制

今回の一連の発見が示すのは、プロンプトフィルタリングだけではAIエージェントのセキュリティを担保できないという点だ。3社いずれのケースも、モデルレベルの安全策はすでに存在していた。それでも攻撃が成立したのは、エージェントを取り巻くハーネス全体の設計——権限の分離、ファイル書き込みの制御、プロセス間の信頼モデル——に問題があったためである。セキュアなアーキテクチャ設計そのものを制御の中心に置く必要がある。

詳細はCritical Flaws in Claude Code, Gemini CLI, and OpenAI Codex Enable RCE and Supply Chain Attacksを参照していただきたい。