AIエージェントが5日でSnowflakeのビルド環境に侵入した。その穴を誰が書いたのかは、いま争点になっている。
セキュリティ企業Wizが8月17日に公表した。6月18日にSnowflakeの公開リポジトリへマージされた変更が、安全な書き方——値を環境変数経由で渡す——をやめ、検証されていない入力をGitHub Actionsワークフロー内のシェルコマンドへ直接置いた。そのため誰でも、タイトルに引用符を入れたissueを立てるだけでSnowflakeのビルド環境上でコマンドを実行できた。Wizの自動レッドチーム・エージェントは6月23日にこれを発見して悪用し、Snowflakeのエンジニアリング、セキュリティ・コンプライアンス、バグバウンティ各プロジェクトへの読み取り権を持つJira APIトークンを持ち出した。Snowflakeは同日に修正し、6月24日にトークンを更新、ほかに侵入者はいなかったとしている。（訂正：初出では、この変更をGitHub Copilotが共同執筆し、問題なしとレビューしたと記していた。GitHubはコードを書いたのは人間であり、Copilot Autofixはレビューも寄与もしていないと述べている。共同作者の行は複数のプルリクエストをまとめたsquashコミットに由来していた。Wizはその後、自社の記事を和らげ、この変更がAI支援によるものかは不明だとした。The Registerも見出しを訂正している。）
なぜ重要か論争を生き延びた側は、依然として衝撃的な側だ。自律型のレッドチーム・エージェントが公開リポジトリを読み、かつて人間が意図して避けたシェルインジェクションの型を見抜き、動く攻撃コードを書き、有効な認証情報を持って出ていった——5日間、人は関与していない。崩れた側は別種の警告である。「バグを書いたのはAIだ」は誰もが載せたい一文であり、結局は何も証明しなかった共同作者の一行に乗って数時間で世界を回った。リポジトリ内での帰属判定は本当に難しく、セキュリティ企業には自社の発見を実際より重く聞こえさせる動機がそろっている。二つ目の主張は一つ目より、ゆっくり読んだほうがいい——私たちの記事も含めて。
▶ 関連動画: avoiding shell injection in github actions (intermediate) anthony explains #479
アプリで読む——無料・9言語
関連ニュース
メタの助手はあなたの周りの全員を一時間ごとに記録しています。2026-10-05二人の上院議員が暴走エージェントの経営者に刑務所を求めました。
2026-10-05一つのコマンドで、アップルが消した停止スイッチが戻る
2026-10-05OpenAIが28日間、毎日の新機能か上限リセットを約束した
2026-10-05素のモデルが、調整版には解けない課題を解いた。
2026-10-04