Google、ADKのAI連携ワークフロー3件を削除

AIセキュリティ実務ガイド 編集部 ・ 読了目安 約3分 ・ 一次情報をAIが要約し、公開前に人間の編集者が確認しています

かんたんに言うと

GoogleのAI開発ツール用リポジトリで、誰でも投稿できる質問コメントが、内部の『信頼された自動応答ロボット』のふりをして強い権限のAI作業を起こせる不具合が見つかりました。自社でAIエージェントに自動処理を任せている場合は、権限の分離や承認方法を見直す必要があります。

AIセキュリティとの関連: AIエージェント同士がGitHub上でプロンプト注入により連鎖的に操作される新手法で、AI活用企業の権限設計に警鐘

一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。

何が起きたか

セキュリティ企業Pillar Securityは、GoogleのAIエージェント開発キット(ADK、AIエージェントを構築・連携させるためのPythonツール群)のGitHubリポジトリに脆弱な仕組みがあると報じられている。誰でも投稿できる公開Issue(課題報告)に書き込むと、自動でトリアージ(内容分析)を行うAIエージェントが動作し、その分析結果を「adk-bot」というアカウント名で投稿する仕組みがあった。別の特権ワークフローは、コマンド「/adk-issue-fix」をowner・member・collaboratorが投稿した場合のみ実行する設計だったが、投稿者の身元を確認する仕組みが「adk-bot」というアカウント名のみに依存していた。Pillar Securityは、プロンプト注入(AIへの指示に悪意ある文言を混ぜ込む攻撃)によってこのbotに偽のコマンドを投稿させ、特権を持つコード修正エージェントを起動させることに成功したとされる。この特権ジョブはCI(継続的インテグレーション)実行環境上での任意コード実行や、bot用アクセストークン、Google APIキー、Google Cloudサービスアカウント認証情報の窃取につながる可能性があったという。Googleは2026年6月9日付でissue-analyze.yml、issue-fix.yml、pr-analyze.ymlの3ワークフローを削除し、7月21日に修正を確認したとPillar Securityは述べている。実際の悪用被害は確認されておらず、影響は配布されるADK Pythonパッケージ本体ではなく、リポジトリの自動化設定に限定される。

誰に・どう影響するか

大企業では、GitHub ActionsなどのCI/CD自動化にAIエージェントを組み込むケースが増えており、同様の設計ミス(権限確認をアカウント名だけに依存する等)があれば、社内リポジトリの認証情報漏えいや不正なコード変更につながるおそれがある。特にクラウドサービスアカウントの鍵やAPIキーを自動化ジョブに直接渡す構成は要注意とされる。中小企業では、自社でADKや類似のAIエージェントフレームワークを直接運用しているケースは少ないと見られるが、外部委託先やSaaSベンダーがこうした自動化を使っている場合、間接的にリスクを引き継ぐ可能性がある。取引先のセキュリティ体制確認の一項目として意識しておくとよい。

今すぐやるべきアクション

• 自社のCI/CDやAIエージェント連携で、bot・サービスアカウントに広範な権限を一括付与していないか確認する
• コマンド実行やワークフロー起動の承認判定を、アカウント名だけでなく多要素で検証する仕組みに見直す
• 外部からの入力(Issue・PRコメント等)を処理するAIエージェントには、書き込み権限を最小限に絞る
• 使用しているAI開発フレームワーク(ADK等)のリポジトリ設定・アップデート情報を定期的に確認する
• 委託先・ベンダーがAIエージェント自動化を使用している場合、権限分離の方針を確認する

重大度の判定理由

重大度「中」: 研究者によるPoCで悪用は未確認、Googleが既にワークフローを削除済みだが権限設計の教訓は大きい