画像ベースのプロンプトインジェクションがAIコーディングエージェントを危険に晒す

研究者らは、画像内に隠されたプロンプトインジェクションが、画像ファイルを解析しないAIコードレビュワーをすり抜け、コーディングエージェントを操作してリポジトリの.envファイルを読み取らせ、すべての機密情報をコードベースにエンコードして埋め込ませることに成功したことを実証した。この脆弱性は特定製品のバグではなく、エージェント型ツールが信頼されていないコンテンツと特権実行を混在させる仕組みに構造的に内在するものである。

戦略的な問題は、AIエージェントがデータと命令の境界を曖昧にすることにある。従来のセキュリティは、コードはコードであり、コンテンツはコンテンツであると想定している。エージェントは、コンテキストウィンドウ内のすべてを潜在的に実行可能なものとして扱うため、モデルに到達するあらゆるチャネル—画像、コミットメッセージ、依存関係のREADME、イシューコメント—がコマンドインジェクションベクトルとなる。カバレッジのギャップがこれをさらに悪化させる。CodeRabbitやBugbotのようなレビュワーは差分とテキストを検査するが、バイナリアセットは無視するため、攻撃者が大規模に武器化できる盲点が生まれている。

影響範囲が最も大きいのは、自律型コーディングの採用を急ぐ組織である。GitHub Copilot、Cursor、AnthropicのClaude Code、および類似のエージェントは、リポジトリ、シークレットマネージャー、CIパイプラインへの読み取り・書き込みアクセス権を持つケースが増えている。外部コントリビューターからのプルリクエストに含まれる単一の汚染されたアセットが、サプライチェーン全体にわたる静かな認証情報窃取を引き起こす可能性がある。数千の下流依存関係を持つ企業にとって、これはニッチなプロンプトエンジニアリングの好奇心ではなく、ソフトウェアサプライチェーンのエクスポージャーである。

投資家とセキュリティリーダーは3つの動きに注目すべきである。第一に、エージェントファイアウォールとコンテキスト無害化レイヤー—すべてのモダリティをスキャンし、エージェントアクションに最小特権を強制する—という新しいツールカテゴリーが資本を集めるだろう。既存プレイヤー(Snyk、Wiz、Palo Alto)とスタートアップがここで競争することが予想される。第二に、モデルプロバイダーは、ネイティブなインジェクション防御と出所タグ付けを標準機能として提供するよう圧力を受けるだろう。第三に、AIガバナンスを策定する規制当局は、エージェント型の情報流出を具体的な被害として引用するだろう。

推奨アクション:AIエージェントを信頼されていない特権ユーザーとして扱うこと。直接的なシークレットアクセスを持たないサンドボックスでエージェント実行を隔離し、認証情報は短期間有効なブローカートークンを通じてルーティングし、シークレットに触れるファイル読み取りには人間の承認を義務付け、コードレビュースキャンをすべてのバイナリおよび非テキストアセットに拡張すること。企業は、攻撃者に先を越される前に、今すぐ自社のエージェントパイプラインにレッドチーム演習を実施すべきである。