Wiz のセキュリティ研究者は、人工知能がまさにその脆弱性を生み出し、その後別の AI システムが発見して悪用したという珍しいケースを文書化しました。自動化された GitHub Copilot の修正により、Snowflake オープンソース リポジトリに重大なスクリプト インジェクションの欠陥が導入され、Wiz の自律型 Red Agent がそのバグを発見し、武器化し、Snowflake の内部システムから資格情報を引き出しました。すべて、欠陥のあるコードが到着してから数日以内でした。

月曜日に Wiz Research ブログで公開されたこの調査結果は、すぐに Hacker News のトップページに掲載され、そこで開発者たちは、AI コーディング アシスタントに変更を運用リポジトリに直接コミットさせるという慣行の増加が何を意味するのかについて議論しました。このエピソードは、AI が作成したコードへの業界の急進に対する警告として読まれています。ソフトウェア開発を再構築するツールに関する詳しい記事については、AI ニュース報道 をご覧ください。

AI 自動修正が脆弱性を生み出す仕組み

Wiz 氏によると、この問題は 2026 年 6 月 18 日に始まり、パブリック「snowflake-connector-net」リポジトリのプル リクエストが「jira_issue.yml」と呼ばれる GitHub Actions ワークフローを更新したときでした。 GitHub Copilot の Autofix 機能と共同作成されたこのコミットは、安全なコーディング パターン (信頼できない問題のタイトルを環境変数を介して渡し、「jq」 で JSON ペイロードを構築するパターン) を、ユーザー制御の入力をシェル スクリプトに直接補間するテンプレートに置き換えました。

GitHub ユーザーがリポジトリで問題を開くたびに、ワークフローが実行されました。問題のタイトルは「run:」ブロックに直接挿入されていたため、細工されたタイトル内の単一引用符だけでシェル コマンドを抜け出し、GitHub のアクション ランナーで任意のコードを実行するのに十分でした。

セキュリティゲートであると思われるワークフローの条件チェックは効果がないことが判明しました。発行イベントでは、「github.event.pull_request」コンテキストは常に null であるため、条件はすべてのユーザーに対して true と評価されます。実際には、GitHub 上の誰でもワークフローをトリガーできます。

ウィズ氏は、AI アシスタントが削除した安全なパターンは、まさにこの種のシェル インジェクションを防ぐために意図的に実装されたものであり、自動アシスタントには知る由もなかった歴史的背景があると述べています。

Red Agent はそれを見つけました - そして失敗を拒否しました

この事件が注目に値するのは、欠陥がどのように発見されたかということだ。自律攻撃型セキュリティ エージェントである Wiz の Red Agent は、ワークフローにスクリプト インジェクションに対して脆弱であるというフラグを立てたときに、CI/CD 分析機能を使用して Snowflake の GitHub 組織をスキャンしていました。

エージェントがこの欠陥を悪用しようとすると、最初のペイロード (コメント文字を使用してシェル コマンドを切り詰める) が bash 構文エラーで失敗しました。研究者らは、Red Agent は停止するのではなく、自律的にエラーを分析し、シェル構文を適切に閉じるようにペイロードを調整し、帯域外コールバック サーバーへの Jira 認証情報の流出に成功したと書いています。コールバックは GitHub Actions ランナーから到着し、base64 でエンコードされた形式で認証情報を運びました。

流出したトークンは、Snowflake のエンジニアリング、セキュリティ コンプライアンス、Jira のバグ報奨金追跡プロジェクト全体にわたる読み取りアクセス権を持つアカウントに属していました。

注射からパッチまで 5 日

Wiz が公開する開示スケジュールは、次のように急速に進んでいます。

  • 2026 年 6 月 18 日 — Copilot Autofix が共同作成したコミットによって脆弱なパターンが導入されました
  • 2026 年 6 月 23 日 — Wiz が欠陥を特定し、悪用し、HackerOne 経由で Snowflake に報告します。
  • 2026 年 6 月 23 日 — Snowflake は同日ワークフローにパッチを適用し、安全な `env:` 変数と `jq` 解析パターンを復元しました
  • 2026 年 6 月 24 日 — 公開された Jira トークンは取り消され、ローテーションされます
  • 2026 年 7 月 25 日 — 調整された一般公開

スノーフレーク社はウィズに対し、調査では不正アクセスの証拠は見つからなかったと語った。同社は声明で「この情報開示は2026年6月23日に受領され、ただちに調査と修復が行われたが、われわれの調査では不正アクセスの証拠は見つからなかった」と述べ、学んだことをより広範な業界と共有するためにWizと協力していると付け加えた。

より大きな教訓: AI コードには人間レベルの精査が必要

ウィズはこの事件から 3 つのポイントを引き出しましたが、それらはスノーフレークをはるかに超えています。

まず、AI が生成したプル リクエストは、人間のコードと同じ静的分析とセキュリティ レビューを受ける必要があります。コーディング アシスタントは確率的パターンからコードを予測します。つまり、リポジトリがすでに削除した非推奨の構造や安全でない構造をサイレントに再導入できることを意味します。

第二に、検出ウィンドウが崩壊しつつあります。この脆弱性は、自動エージェントが発見して検証するまでにわずか 5 日間存続していました。これは、攻撃者が同様のツールを使用してスキャンする場合も同様に迅速に行動できると想定したペースです。迅速なパッチ サイクルと有効期間の短い認証情報が基本要件になりつつあります。

第三に、組織には、AI アシスタントが構造化データ パーサーを直接文字列補間に置き換えるのを防ぐガードレールが必要です。まさにここで発生した回帰です。

この事件は、AI が生成したコードについて業界全体が内省される時期に起こりました。一連の最近の研究と実際の事例は、AI コーディング ツールが生産性の向上と同時にバグ、セキュリティ ホール、メンテナンスの問題を確実に引き起こす可能性があることを示しています。 Snowflake の事件を特徴づけているのは、閉ループであることです。問題を引き起こした AI と問題をキャッチした AI は両方とも自律的に動作し、人間がその後の影響を確認していました。

セキュリティ チームにとって、Wiz からのメッセージは率直です。問題はもはや、AI が作成したコードに脆弱性が含まれるかどうかではなく、人間による検出パイプラインか自動検出パイプラインが他のエージェントよりも早く脆弱性を検出できるかどうかです。

AI 曲線の先を行く

AI コーディング ツールと自律エージェントは、ソフトウェアのセキュリティをリアルタイムで変化させています。 AI Buzz Wire をブックマークして、AI 業界に関する毎日のレポートを入手してください。

AIニュースをもっと読む→