Security News Daily

AIエージェントとサプライチェーンを同時襲撃：Cisco緊急パッチからGeminiハイジャックまで

Cisco Unified CMの認証回避脆弱性（CVE-2026-20230）でPoC公開、VS CodeのワンクリックGitHubトークン窃取、Claude CodeのIssue駆動リポジトリ乗っ取り、npmを襲うRust製IronWormマルウェア、Gemini音声アシスタントのプロンプトインジェクションなど、AI統合環境とサプライチェーンを標的とした新世代攻撃が集中発生。

サプライチェーン攻撃AIセキュリティ認証回避Ciscoプロンプトインジェクション

今日のハイライト

本日のセキュリティニュースは、AIエージェントの普及とサプライチェーンの複雑化が生んだ新たな攻撃表面を象徴する内容が集中しました。Ciscoのインフラ製品における認証不要のroot権限取得から、VS CodeやClaude Codeといった開発者向けAIツールの脆弱性、npmエコシステムを狙ったRust製マルウェア、さらには消費者向けAIアシスタントのプロンプトインジェクションまで、従来の境界防御では防ぎきれない「AIの文脈」を悪用した攻撃手法が顕在化しています。

1. Cisco Unified CM 緊急パッチ：認証不要のroot権限取得（CVE-2026-20230）

概要

CiscoはUnified Communications Manager（Unified CM）における重大な脆弱性 CVE-2026-20230 に対するパッチを緊急リリースしました。本脆弱性は、認証されていない攻撃者が任意のファイルを書き込み、root権限に昇格できるという極めて深刻なものです。さらに懸念すべきは、Proof-of-Concept（PoC）エクスプロイトコードが既に公開されている点で、攻撃の実現性が理論上ではなく現実のものとなっています。

考察

【実務対策】 Unified CMは企業のVoIPインフラの中核を担う製品であり、多くの組織で重要なビジネス通信に使用されています。本脆弱性の緊急性は「認証なし」かつ「root権限」という組み合わせにあります。影響を受ける組織は即座にパッチ適用を実施すべきですが、通信インフラのためメンテナンスウィンドウの調整が難しい場合でも、少なくとも以下の対策を直ちに講じる必要があります：

  1. 管理インターフェースのアクセス制限：Unified CMの管理ポート（TCP 443など）を信頼された管理セグメントのみに制限し、インターネットからの直接アクセスを完全に遮断
  2. ネットワークセグメンテーション：Voice VLANと管理VLANを厳密に分離し、横展開のリスクを低減
  3. 監視の強化：Unified CMサーバーへの不審なファイル書き込みや権限昇格を示すログの異常検知ルールを有効化

【技術的背景】 本脆弱性はおそらくファイルアップロード機能やパス区切り文字（Path Traversal）の不適切な処理に起因すると考えられます。Unified CMのような複雑なエンタープライズソフトウェアでは、Web管理インターフェース経由でのファイル操作における入力検証の欠如が、認証バイパスと組み合わさることで致命的な権限昇格に繋がる典型的なパターンです。PoCの公開は「パッチまたは破壊（Patch or Perish）」の状況を意味し、攻撃者がインフラを完全に掌握するまでの時間は数日から数時間に短縮される可能性があります。

参照元

2. VS Code脆弱性：ワンクリックでのGitHubトークン窃取

概要

Visual Studio Code（VS Code）に存在する深刻な脆弱性が公開され、悪意あるJupyter Notebookを開くだけでGitHubアクセストークンが窃取される攻撃手法が明らかになりました。研究者Ammar Askar氏は、Microsoftへの事前通知なしに技術詳細とPoCを公開し（過去の脆弱性報告での不満が背景）、Microsoftは6月3日にgithub.dev版の修正をリリースしましたが、デスクトップ版は未パッチの可能性があります。

攻撃シーケンスは巧妙です：github.dev（ブラウザ版VS Code）で悪意あるNotebookを開くと、隠されたコードがキーストロークをシミュレートして悪意ある拡張機能をインストールし、GitHubアクセストークンを窃取します。窃取されたトークンは、プライベートリポジトリを含む全リポジトリへの読み書き権限を攻撃者に与えます。

考察

【実務対策】 開発者インフラのセキュリティは組織のサプライチェーン全体に影響を及ぼすため、本脆弱性は単なる「開発ツールの問題」ではありません：

  1. ブラウザ拡張機能の権限見直し：github.devやCodespacesでの拡張機能インストール時の権限要求を「常に拒否」または「確認を厳格化」するポリシーを設定
  2. GitHubトークンのスコープ限定：Classicトークンの使用を禁止し、Fine-grained personal access tokensに移行。必要最小限のリポジトリ・権限のみを付与
  3. Notebookファイルの取り扱い注意：信頼できないソースからの.ipynbファイルをgithub.devで開く際は、必ずローカルで内容を検証してから
  4. デスクトップ版の監視：デスクトップ版VS Codeでは、未知の拡張機能の自動インストールを試みるプロセスをEDRで検知するルールを追加

【分析・洞察】 本件の背景にある「責任ある開示（Responsible Disclosure）」に対する研究者の不信感は、セキュリティコミュニティ全体の課題を浮き彫りにしています。Microsoftへの報告プロセスへの不満から研究者がゼロデイを公開するケースが相次いでおり（Chaotic Eclipse/Nightmare Eclipse氏の複数ゼロデイ公開など）、ベンダーと研究者の関係悪化がエンドユーザーのリスク増大に直結しています。

技術的には、「キーストロークシミュレーション」による拡張機能インストールという手法が注目されます。これはWebアプリケーションにおける「クリックジャッキング」や「UI Redressing」の延長線上にあり、ブラウザ内での安全なサンドボックス環境であっても、ユーザーインタラクションの模倣を許してしまう設計の根本的な難しさを示しています。特にgithub.devのような「軽量IDE」は機能性とセキュリティのトレードオフが厳しく、今後も同様の攻撃ベクトルが発見される可能性が高いです。

参照元

3. Claude Code GitHub Action脆弱性：単一Issueによるリポジトリ乗っ取り

概要

Anthropic社の「Claude Code」GitHub Actionに存在した脆弱性により、悪意あるGitHub Issueを1つ開くだけで公開リポジトリを乗っ取ることが可能でした。本脆弱性は、Claude CodeがIssueの内容を自動処理する際の入力検証不備により、コードインジェクションが可能だったことに起因します。幸いなことに、Anthropic自身のリポジトリにも影響を及ぼす可能性がありましたが、現在は修正されています。

考察

【実務対策】 AIコーディングアシスタントの導入が進む中で、CI/CDパイプライン内でのAIエージェントの権限設定が従来の「自動化ツール」とは異なる次元のリスクを抱えています：

  1. AIエージェントの権限最小化：Claude CodeやGitHub CopilotなどのAIアシスタントに付与するGitHubトークンは、書き込み権限を厳密に制限し、必要に応じて読み取り専用トークンを使用
  2. Issue/PRの自動処理の無効化：AIエージェントが外部からの入力（Issue本文、PRコメント）を自動的に処理するワークフローは、プロンプトインジェクションやコードインジェクションのリスクが高いため、人間の承認ステップを必須とする
  3. サンドボックス化：AIエージェントの実行環境を分離し、機密性の高いシークレットへのアクセスを制限。環境変数の漏洩を防ぐため、専用の低権限環境で実行

【分析・洞察】 本脆弱性は**「AIエージェントを介したサプライチェーン攻撃」の新たな典型例です。従来のCI/CDセキュリティは「信頼されたコード」がパイプラインを流れることを前提としていましたが、AIエージェントが「自然言語による指示（Issue本文）」をコードとして解釈・実行するようになったことで、「人間が読んで無害に見えるテキストが、AIにとっては悪意ある命令となる」**という新たな攻撃表面が生まれました。

これは単なる「入力検証の不備」ではなく、LLM（大規模言語モデル）の「指示追従」特性を悪用したプロンプトインジェクションの一種と言えます。今後、AIエージェントがGitHub Issues、Slackメッセージ、メールなど「人間が書いた自然言語」を直接処理する機会が増える中で、これら全てが「コードインジェクションの入り口」となり得ることを認識する必要があります。

参照元

4. IronWorm：Rust製マルウェアによるnpmサプライチェーン攻撃

概要

npm（Node Package Manager）レジストリ上の36のパッケージが、**Rust製の情報窃取型マルウェア「IronWorm」**を含むサプライチェーン攻撃を受けました。本マルウェアは、eBPFカーネルルートキットを使用して隠蔽し、Torネットワーク経由で通信します。標的は86の環境変数と20の認証情報ファイルで、OpenAI、AWS、Anthropic、npmの認証情報、SSHキー、Exodus暗号資産ウォレットなどを窃取します。

特に悪質な点は、窃取したnpm認証情報を使用して自己増殖し、被害者が所有するパッケージのトロイ化されたバージョンを公開することで、さらなる開発者とCIシステムを感染させる点です。また、GitHub Actionsのビルドアーティファクト機能を悪用して窃取データを流出させる仕組みも内包していました（今回の攻撃では未使用）。

考察

【実務対策】 npmエコシステムにおけるサプライチェーン攻撃は、開発者の開発環境とCI/CDパイプラインの両方を汚染するため、防御が極めて困難です：

  1. 依存関係の厳格な管理：package.jsonのバージョン指定を厳密化し、自動更新（^や~の使用）を制限。ロックファイル（package-lock.json）の改ざん検知を導入
  2. CI/CDのセグメンテーション：ビルドプロセスにおいて、パッケージのインストール（fetch）とビルド（build）を分離し、ネットワークアクセスを制限したサンドボックス環境で実行
  3. 認証情報のスコープ分離：npmトークンは「Trusted Publishing」を有効化し、パブリッシュ操作のみ可能な短寿命トークンを使用。CI環境では読み取り専用トークンのみを使用
  4. eBPFモニタリング：Linux環境において、eBPFプログラムの異常なロードを検知する監視を導入（IronWormはeBPFルートキットを使用）

【分析・洞察】 IronWormはShai Hulud（最近GitHubにコードが公開されたマルウェア）と同じコミット名を使用しており、TeamPCPと関連する攻撃キャンペーンの進化形と見られています。Rustによる実装、eBPFルートキットの使用、Tor通信など、**「検知回避に特化した高度な技術」**がサプライチェーン攻撃に応用されている点が注目されます。

特に興味深いのは、GitHub ActionsのビルドアーティファクトをC2代替として使用する手法です。従来のマルウェアは外部C2サーバーに通信しますが、IronWormは「lint結果のようなファイル」として窃取データをアーティファクトとしてアップロードし、後から攻撃者がダウンロードするという手法を準備していました。これは、**「外向き通信を監視しても異常が検知されない」**という、CI/CD環境特有のステルス手法であり、従来のネットワーク監視では検知困難です。

参照元

5. Gemini Voice Assistant：メッセージ通知経由のハイジャック

概要

SafeBreach社の研究者らは、GoogleのGemini音声アシスタントにおける**「Fake Context Alignment」**攻撃を発表しました。WhatsApp、Slack、SMSなどのメッセージ通知を介した間接的プロンプトインジェクションにより、AIアシスタントをハイジャックし、スマートホームデバイスの遠隔操作、Zoomビデオ通話の発信、信頼される連絡先からのように見せかけたメッセージ作成などが可能でした。本脆弱性は2025年11月に修正されましたが、詳細が今回初めて公開されました。

攻撃は、ユーザーが「通知を読んで」と指示した際に、Geminiが通知内に隠された悪意ある命令（外国語や非表示リンクに埋め込まれたコマンド）を処理してしまうことで発動します。特に運転中などのハンズフリー環境では、視覚的な確認ができないため危険性が高まります。

考察

【実務対策】 消費者向けAIアシスタントの脆弱性は、企業環境でのBYOD（Bring Your Own Device）や、従業員の個人デバイスが職場のスマートデバイス（Google Homeなど）に接続する場合に、間接的なリスクをもたらします：

  1. AIアシスタントの権限見直し：Google Homeなどのスマートホームデバイスは、AIアシスタントからの**「購入」や「通話発信」機能を無効化**し、物理的操作を必要とする設定に変更
  2. 通知内容の検証：Geminiなどに通知を読ませる際は、視覚的に通知内容を確認してから音声命令を実行する習慣を徹底（特にハンズフリー時は注意）
  3. 企業ポリシーの更新：従業員の個人デバイスでのAIアシスタント使用に関するガイドラインを策定。機密情報を含むメッセージがAIに読み取られるリスクを教育
  4. LLM統合製品のセキュリティ評価：企業がカスタムAIアシスタントを開発する際は、間接的プロンプトインジェクション対策（コンテンツ分類器、入力サニタイゼーション）を必須とする

【分析・洞察】 「Fake Context Alignment」は、LLMが「文脈」をどのように解釈するかという根本的な問題を突いています。人間にとっては「友人からのメッセージ」に過ぎないテキストが、AIにとっては「システム命令」として解釈されるという、「クロスチャンネル権限」の混在が問題です。

特に懸念されるのは、Geminiの**長期記憶への「毒入れ（Poisoning）」**です。攻撃者は一度の攻撃で、以降の全ての応答に影響を与える永続的なバックドアを植入することが可能でした。これは、AIアシスタントが「学習」や「パーソナライゼーション」を行う中で、悪意ある入力がAIの「人格」や「振る舞い」に永続的に影響を与えるという、従来のコンピュータウイルスとは異なる性質の脅威です。

本件は、AIシステムが「信頼」と「文脈」をどう解析すべきかという、アーキテクチャレベルでの再設計を迫るものです。単なる「入力検証」を超えて、高信頼チャンネル（通知）からの低信頼コンテンツ（メッセージ本文）を、AIのシステムプロンプトからどう隔離するかという課題が残ります。

参照元

まとめ

2026年6月5日のニュースは、「AIの文脈理解能力」が攻撃者に悪用される新時代の到来を示唆しています。Ciscoのような従来のインフラ脆弱性と並行して、VS CodeやClaude Code、GeminiといったAI統合環境における「文脈の乗っ取り」が、開発者と一般ユーザーの両方を標的にしています。

特に注目すべきトレンドは以下の3点です：

  1. AIエージェントを介したサプライチェーン攻撃：Claude CodeのIssue操作やVS Codeのトークン窃取は、AIが「人間の代理」として動作することで生まれる新たな権限昇格パスを示しています。今後、AIアシスタントが持つ「人間の認証情報を使用する能力」が、攻撃者にとっての「ゴールデンキー」となり得ます。

  2. 「自然言語」という新たな攻撃ベクトル：IronWormのような従来型マルウェアと並行して、GeminiやClaudeへの「プロンプトインジェクション」は、防火壁やEDRでは検知できない「意味論的な攻撃」として増加しています。

  3. 開発者インフラの集中攻撃：npm、VS Code、GitHub Actionsといった、現代ソフトウェア開発の基盤が組織的に標的にされており、**「開発者のマシン1台が企業全体のサプライチェーンを破壊する」**リスクが現実化しています。

今後の注視ポイントとしては、AIエージェントの「ツール使用（Tool Use）」機能に対するセキュリティ制御の標準化が急務です。AIがGitHub、Slack、メール、スマートホームを横断的に操作する中で、**「どの文脈でどのツールを使用可能か」**というポリシーの明示と技術的な強制が、次世代セキュリティの鍵となるでしょう。

参照元