概要
Black Hat USA 2026（8月5日）で、セキュリティ研究者らがAnthropicのClaude Code、GoogleのGemini CLI、OpenAIのCodexなど主要なAIコーディングエージェントに存在する重大な脆弱性群を公表した。共通する特徴は、リポジトリへの書き込み権限を持たない第三者が投稿した悪意あるGitHub issueの本文だけを起点に、CI（継続的インテグレーション）実行環境の認証情報を窃取したり、任意コードを実行したりできる点にある。issueのコメントやタイトルに仕込まれた指示がAIエージェントによって読み込まれ、意図しない特権操作につながってしまう、プロンプトインジェクションに起因する問題群だ。
技術的な詳細
最も深刻なのはGemini CLIの脆弱性（CVE-2026-12537）で、CVSSスコアは最大値の10.0を記録した。これはOSコマンドインジェクションの脆弱性で、細工した.gemini/.envファイルを通じて、サンドボックスが起動する前のCIプラットフォームのホスト上でコードを実行できてしまう。影響を受けるのはGemini CLI 0.39.0以前およびrun-gemini-cli 0.1.21以前で、それぞれv0.39.1、v0.1.22で修正済みとなっている。
Claude Codeの脆弱性（CVE-2026-54316）はCVSSスコアがv4基準で6.0、v3.1基準では9.1とされ、データ流出（APIキー漏洩)につながる問題だ。攻撃者はHugging Faceの公開ダウンロードカウンターを外部のサイドチャネルとして悪用し、APIキーを一文字ずつ流出させる手法が確認された。悪用には信頼できないコンテンツ(悪意あるissueなど)をAIのコンテキストに取り込ませる必要があり、影響範囲はv0.2.54からv2.1.162まで、v2.1.163で修正されている。OpenAI Codexについては正式なCVE番号こそ割り当てられていないものの、同一ジョブ内で2つのCodexパス(実行過程)がチェックアウトを共有してしまい、最初のパスが書き込んだ命令ファイルを2番目のパスが実行してしまう問題が報告された。こちらはパッチではなく、ジョブの分離とドキュメント更新で対応された。
研究者らは、これら脆弱性の根本原因は各ツールの「ハーネス」、すなわちAIモデルと実世界のシステムを繋ぐコード部分にあると指摘する。具体的には、ある値を「安全」と判定する処理と、その値を実際に高い権限で処理する後続の処理との間で、十分な検証が行われていないという構造的な問題だ。CISAの記録では現時点で「実際の悪用は確認されていない」とされているが、Claude Codeの脆弱性を突くプロトタイプのリポジトリは6月18日から一般に公開されており、悪用のハードルは低いとみられる。
影響と今後
今回明らかになった問題は、AIコーディングエージェントをCI/CDパイプラインに組み込む際の設計そのものに警鐘を鳴らすものだ。GitHub issueという、外部の第三者が自由に書き込める入力経路がそのままエージェントの実行コンテキストに流れ込み、CIホスト上の高権限操作に直結してしまう構造は、今後も同種のツールで繰り返される懸念がある。各ベンダーは該当バージョンで修正を提供済みだが、利用者側では信頼できない外部入力(issueやPRのコメントなど)をAIエージェントに処理させる際のサンドボックス分離や権限の最小化を、あらためて見直す必要があるだろう。