Claude Code、Gemini CLI、CodexのAIコーディングエージェント3製品で、悪意あるGitHub Issueを起点に後続のエージェント実行へ影響が及ぶ共通リスクが見つかった。台湾メディアのIT Homeが10日付で報じた。セキュリティ企業Novi Securityは、AnthropicのClaude Code、GoogleのGemini CLI、OpenAIのCodexの自動化ワークフローを分析した結果、ツール権限やサンドボックス隔離、共有ワークスペースをまたぐ信頼境界に不整合があると明らかにした。

問題は単純なプロンプトインジェクションにとどまらない。外部入力がファイル、コマンドライン、ネットワークなどのツールと結び付くと、各セキュリティ層で「安全な処理」と見なす基準が食い違う可能性がある。

その結果、ある段階では有効だった制限が、次の処理に移る過程で適用されなくなることがある。研究チームは、こうした構造が任意コード実行や機密情報の流出、後続のエージェント実行への持続的な影響につながり得るとみている。

Claude Codeでは、許可されたGit操作を悪用してセキュリティチェックを回避し、実行環境内で任意のコードを動かす手法が確認された。Anthropicが対策を講じた後も、研究チームは環境内の機密情報を読み取る経路や、公開サービスを通じてAPIキーを外部へ流出させる経路を追加で見つけたとしている。

Gemini CLIでは、コマンド制限とプロセス隔離の不備が問題になった。限定されたコマンドだけが許可されているように見えても、実際の実行段階では制限が完全には適用されていなかった。

さらに、下位プロセスではGitHubトークンとGeminiのAPIキーが削除されていた一方、上位プロセスにはそれらの情報が残っていた。同じ実行環境内であれば、攻撃者がこれらの情報を参照できる状態だったという。Googleは深刻度をCVSS 10.0と評価し、非対話型の自動実行環境における信頼メカニズムを修正した。

Codexでは、連続する2回の実行が同じワークスペースを共有する設計が問題になった。最初のCodexが悪意あるコンテンツの影響を受けると、Codexが自動的に読み込むプロジェクト指示ファイル「AGENTS.md」が書き換えられる。

その後に2回目のCodexが起動すると、このファイルを再び指示として読み込み、最初の実行で生じた影響が次の段階へ引き継がれる可能性がある。OpenAIは2回のCodex実行を別々の作業環境に分離し、読み取り専用のサンドボックスを適用した。

研究チームは、公開リポジトリ100件以上でも同様のAIエージェント自動化構成を確認したとしている。

今回の事例は、AIモデル自体の安全機構だけでなく、自動化ワークフロー全体の信頼設計が重要であることを示した。ファイル、権限、実行環境が各段階でどう連鎖するかが、実際のセキュリティ水準を左右する実態が浮き彫りになった。