セキュリティ研究者らは5つのAI開発ツール全体で脆弱性を発見し、OpenAIとMicrosoftの問題は依然として未修正のままであり、その共通原因をこれらのツールが依存する組み込みブラウザに辿り着いた。

真の発見は構造的なものであり、単一のバグではない。AIコーディングアシスタントは、エージェントがドキュメントを取得し、ページを開き、プレビューをレンダリングできるようにブラウザエンジンをバンドルすることが増えている。そのコンポーネントは、既にファイルアクセス、シェル権限、APIキーを保持しているプロセス内に存在する。信頼できないWebコンテンツがそこに到達できるようになると、プロンプトインジェクションはチャットボットの好奇心の対象ではなくなり、エンジニアのワークステーション上でのコード実行への経路となる。攻撃対象はもはやモデルのテキスト出力ではなく、モデルを包む完全なアプリケーションである。

グローバルな視点では、これはAIコーディングツール競争を再定義する。ベンダーは機能とスピードで競争してきたが、セキュリティは後回しのパッチとして扱ってきた。最大手2社における未修正の脆弱性は、開示から修正までのタイムラインが採用に追いついていないこと、そして企業が大手ベンダーのツールが堅牢化されていると仮定できないことを示している。あらゆるエンジニアリング組織にとって、実際の露出は認証情報の窃取と横方向の移動であり、それは開発者のラップトップから始まる――これはほとんどのセキュリティプログラムにおける最も脆弱な箇所である。

日本企業とSIerにとって、タイミングは厄介である。多くは生産性向上の義務の一環としてAIコーディングアシスタントを標準化し始めたばかりであり、各ツールがローカルで何を実行するかについての限定的なレビューで管理カタログを通じて展開していることが多い。組み込みブラウザのリスクは、依然として日本のITを支配するペリメータ中心のセキュリティモデルを直撃する。クライアント向けの配信パイプラインを構築するSIerは、この責任を直接継承する。侵害された開発環境は、そのチームが関わるすべてのプロジェクトにわたってソースと成果物を汚染する可能性がある。

短期的な対応は具体的であるべきだ。AI開発ツールを、シェルおよびネットワークアクセスを持つあらゆるエージェントと同じ審査対象となる特権ソフトウェアとして扱う。サンドボックスまたは専用開発VM内で隔離し、APIキーの範囲を厳密に設定し、ワークフローが許す場合は組み込みブラウザを無効化または制限し、ベンダーのパッチステータスを後付けではなく調達条件として追跡する。RPAおよび自動化チームが本番システムにエージェントを拡張する場合も、同じ原則が適用される。外部コンテンツをレンダリングするあらゆるコンポーネントは武器化される可能性があると想定し、それに応じてゲートを設ける。