Claude Code/Gemini CLIに脆弱性、GitHub問題から機密奪取
- 権限のないGitHubアカウントの投稿だけでCIランナー上でコード実行が可能だった
- Gemini CLIはCVSS10.0の深刻な脆弱性、Claude CodeはAPIキー漏洩の脆弱性が判明
- 両社は修正済み、OpenAIのCodexは脆弱性番号なしでワークフロー変更のみ実施
かんたんに言うと
誰でも書き込めるGitHubの問い合わせ欄から、AIコーディング支援ツールの裏側にある重要な情報が盗まれる恐れがありました。ツールを最新版に更新し、外部の人が操作できる仕組みを見直しましょう。
AIセキュリティとの関連: AIコーディングエージェントの権限設計不備が、外部投稿から機密情報奪取に直結した実例として重要。
何が起きたか
セキュリティ企業Novee Securityが、Anthropic・Google・OpenAIの各コーディングエージェントを標準設定で検証し、Black Hat USA(8月5日)で発表した。権限のないアカウントが開いたGitHub issueだけで、AnthropicとGoogleのCIランナー上でコード実行が可能だった。OpenAIのCodexでは次回のエージェント実行を乗っ取れたという。これによりCVE-2026-12537(Gemini CLI、CVSSv4スコア10.0)とCVE-2026-54316(Claude Code)の2件が発行され、いずれも修正版が公開されている。前者はコンテナ起動処理でのOSコマンドインジェクション、後者はHugging Faceのダウンロード数カウンタを悪用しAPIキーを1文字ずつ抜き出す手法だった。Codexの問題にはCVEも修正版もなく、OpenAIはサンドボックスの動作は仕様通りと説明しているとされる。
誰に・どう影響するか
中小企業では、外部委託やOSSコミュニティ向けにGitHubリポジトリを公開している場合、権限を持たない第三者からの入力がCIパイプラインの機密情報に到達する経路が生まれうる。大企業ではAIコーディングエージェントを社内CI/CDに広く組み込んでいるケースが多く、影響範囲がより大きい。特にGemini CLIの脆弱性はモデルへの指示を介さず、サンドボックス起動前にホストでコード実行が可能だった点で、従来の「AIを騙す」対策だけでは防げない点が特徴的である。
今すぐやるべきアクション
- Gemini CLIを0.39.1、run-gemini-cliを0.1.22以降に更新する
- Claude Codeを2.1.163以降に更新する
- 外部ユーザーがトリガーできるCIワークフロー(issue、PR等)を洗い出し権限を精査する
- GitHub Actions等でAIエージェントを実行する際は最小権限・読み取り専用サンドボックスを検討する
- CVEステータスを確認し、悪用報告がないことを確認しつつ優先度高くパッチ適用する
重大度の判定理由
重大度「高」: 修正版は公開済みで悪用報告はないが、CVSS10.0の深刻な脆弱性を含み影響範囲が広い。