Claude・Codex等AIエージェントに任意コード実行の脆弱性

AIセキュリティ実務ガイド 編集部 ・ 読了目安 約3分 ・ 一次情報をAIが要約し、公開前に人間の編集者が確認しています

かんたんに言うと

ZIPや共有フォルダで受け取ったプログラムのコードをAIツールで開くと、隠されたコマンドが勝手に動いてしまう不具合が見つかった。自社で使うAIコーディングツールを最新版に更新し、出所不明のコードを開く前に中身を確認しよう。

AIセキュリティとの関連: Claude・Codex・CursorなどAIエージェントがリポジトリ設定経由で攻撃者コードを実行してしまう脆弱性のため。

何が起きたか

セキュリティ企業Manifold Securityが、Claude Code、Codex、Cursorなど主要なCLI型AIコーディングエージェント7製品に共通する脆弱性を報告したと報じられている。問題の核心はGitの性能設定「core.fsmonitor」にある。この設定値には任意のコマンドを指定でき、Gitはリポジトリ自身の.git/configから読み込む。git statusやgit diffなど、AIエージェントが起動時に自動実行する操作がこの設定を呼び出してしまい、リポジトリ作者が仕込んだコマンドをユーザー権限で実行する。実行はエージェントのサンドボックス外で行われ、承認プロンプトも表示されない。悪用にはリポジトリが.gitディレクトリを保持したまま届く必要があり、共有アーカイブや同期フォルダ、USBメモリ経由が該当し、通常のgit clone操作では再現しないという。goose、Claude Code、Cursorには修正が提供された一方、Hermes Agent、Qwen Code、Grok Build、Claude Codeの別経路は9月1日時点で未修正とされる。同日OpenAIもCodexで同種の3件のCVEを公開した。

誰に・どう影響するか

中小企業では、外部から受け取ったサンプルコードやZIP共有のリポジトリをAIエージェントで開く場面が想定される。開発者が気づかないうちに任意コードが実行され、ファイルの読み取りや改ざん、認証情報の窃取につながる恐れがある。大企業では、サプライチェーンや協業先から届く多数のリポジトリをAIエージェントで自動処理する開発フローが標的になりやすく、CI/CD環境や共有ドライブ経由での配布を行っている組織ほど影響範囲が広がる可能性がある。ただし現時点でいずれの報告でも実際の悪用は確認されていない。

今すぐやるべきアクション

• 使用中のAIコーディングエージェントのバージョンを確認し、修正版(goose 1.44.0以降、Codex CLI 0.131.0以降、Claude Code 2.1.196以降等)へ更新する
• 外部から届いた.gitディレクトリ付きのリポジトリをAIエージェントで開く前に、.git/configのcore.fsmonitor、core.hooksPath、attr.tree設定を目視確認する
• `git config --get core.fsmonitor` を実行し、不審なコマンドが設定されていないか点検する
• `git config --global core.fsmonitor false` など安全側の既定値を設定し、リポジトリ側の上書きを防ぐ
• Hermes Agent、Qwen Code、Grok Buildなど未修正の製品は、ベンダーの対応状況を継続的に確認する

重大度の判定理由

重大度「高」: 複数の主要AIエージェントに影響し攻撃者コード実行が可能だが、悪用条件は限定的で悪用確認例はない