未認証の見知らぬ人物が、GitHubの公開リポジトリにIssueを開き、一段落だけ書いて待ちました。GitHubのAIエージェントはそのIssueを読み、組織の非公開リポジトリへ歩み入り、非公開のREADMEを公開コメントとして投稿しました。引き金はその一段落です。エージェントのトークンが、目の前の一件のIssueではなく組織全体に及ぶスコープを持っていたこと、それが漏洩がそこまで届いた理由なのです。

Noma Securityのリサーチチームは、いま多くのチームがそうするやり方で GitHub上に組織を立ち上げました。いくつかの公開リポジトリ、複数の非公開リポジトリ、そして雑務を処理するために組み込まれたGitHub Agentic Workflowsです。GitHub Agentic Workflowsは、GitHub Actionsが ClaudeやCopilotを背後に持つAIエージェントに手渡すプレーンなMarkdownの指示書であり、エージェントはチームに代わってIssueをトリアージし、質問に答え、プルリクエストを開けます。それから研究者たちは攻撃者を演じました。公開リポジトリの一つにありふれた見た目のIssueを開き、本文に数センテンスを忍ばせ、ワークフローを走らせたのです。エージェントはIssueを読み、非公開リポジトリからREADME.mdの内容を取得し、誰でも読める公開コメントにそれを貼り付けました。

攻撃者はパスワードも、盗んだ鍵も、エクスプロイトコードも使っておらず、 CVEも存在しません。Nomaはこの手法を GitLost と呼び、GitHubに報告したうえで、同社の了解のもとに公表しました。ペイロードの全体は、エージェントが読むために作られたフィールドに収まった英語の散文だったのです。

非公開リポジトリで答えたIssue

仕組みは短く、だからこそ図に描く価値があります。ワークフローは、 Issueが開かれたり割り当てられたりといったイベントで発火します。エージェントはIssueのタイトルと本文を自分のタスクとして読みます。その本文の中に、非公開リポジトリのREADMEを取得してコメントとして投稿せよという指示が埋め込まれていました。GitHubはこの前面にガードレールを備えていました。サンドボックス化、デフォルトで読み取り専用のトークン、入力の洗浄、そしてテキストへの脅威検知パスです。 Nomaは一つがすり抜けるまでバリエーションを試しました。悪意あるリクエストの頭に「Additionally（さらに）」という一語を付けるだけでフィルターを通過するには十分でした。モデルがそれを、拒否すべき要求ではなく後続のタスクとして読んだからです。一語の変更が、インジェクションを境界の向こうへ運んだのです。

GitLostの一部始終、GitHubのサーバー上で。未認証の攻撃者が公開リポジトリにIssueを開いて待つ。ワークフローが発火し、エージェントはIssue本文を自分のタスクとして読む。GitHubのガードレール（サンドボックス、デフォルトで読み取り専用のトークン、入力洗浄、脅威検知）は経路上にあるが、「Additionally」を頭に付けたリクエストは後続タスクとして読まれ、すり抜ける。エージェントは次に、組織内のすべての公開・非公開リポジトリへの読み取りアクセスを持つ環境内のトークンを使い、非公開のREADMEを取得して公開コメントとして投稿する。エージェントの目の前のタスクは公開Issue一件だったが、トークンは組織全体に届いていた。

言い換えがフィルターを打ち破る

Issue本文を読んで攻撃が含まれるかを判定するフィルターは、言い回しから意図を推測しているのであり、言い回しのバリエーションは無尽蔵です。 Nomaはモデルを破壊したわけでも、メモリバグを見つけたわけでもありません。分類器が自身のしきい値を下回るスコアを付けるまで同じ要求を言い換え続け、着地した言い回しが「Additionally」だったのです。

これは我々が先週書いた、ツールを使うエージェントの構造的な性質です。エージェントは自分への指示と取得したデータを一つの平坦なトークン列として読み、人が流し読みするのと同じように、どの部分が命令かをトーンと位置から推測します。 Issue本文はデータです。インジェクションとは、信頼できないデータを命令の形に整え、モデルがそれに従うことに賭ける手口です。検知は役に立ち、走らせる価値がありますが、取りこぼします。分類器にはしきい値があり、試行回数無制限の攻撃者は、しきい値を下回る言い回しに当たるまで探り続けるのです。

漏洩の大きさを決めたギャップ

GitLostの一部は、GitHubが次にどんなフィルターを出荷しようと生き残ります。ワークフローのタスクは、一つの公開リポジトリの一件の Issueをトリアージすることでした。GitHub Actionsがそのワークフローの環境に置いたトークンは、組織内のすべての公開・非公開リポジトリへの読み取りアクセスを持っていました。エージェントがリポジトリ横断のコンテキストを引けるように、チームがその広さを与えるからです。標的を選んだのは攻撃者ですが、被害の上限を決めたのはトークンのスコープでした。攻撃を百通りに言い換えても、その上限は変わりません。トークンに見えるものすべて、です。

Noma自身の推奨も同じ継ぎ目を指しています。防御側への助言は、組織全体ではなくワークフローがトリアージするその一つのリポジトリにトークンを絞ることです。この助言は、インジェクションが時に着弾すること、そして着弾したときの爆発半径はアカウントの大きさではなくタスクの大きさであるべきだということを、認めているのです。

タスクのスコープ対認証情報のスコープ。青いバーはワークフローが仕事に必要としたもの、すなわち公開Issue一件の読み取り。赤いバーは環境内のトークンが届き得たもの、すなわち組織内のすべての公開・非公開リポジトリ。インジェクションは赤のどこかに標的を選んだ。二本のバーの距離が爆発半径であり、それを決めたのは攻撃の言い回しではなくトークンだ。赤いバーを青いバーの大きさまで縮めることが、どの言い回しがフィルターを抜けようと持ちこたえる防御である。

持ち出し経路はエージェントの本業だった

非公開のREADMEは公開コメントを通って組織を出て行きましたが、それはエージェントができて当然のことです。Issueへのコメントはその機能そのものです。ワイヤー上には窃盗らしきものが何もありません。奇妙なエンドポイントも、裏口から出て行くエンコード済みのブロブもないのです。悪意あるトラフィックを見張るネットワークモニターに見えたのは、エージェントがコメントを投稿する姿、つまり一日中やっていることです。持ち出しのチャネルが公認の能力であるとき、割に合う防御は、そもそもエージェントが届く範囲を絞ることなのです。

あなたがアーキテクチャを変えられる場所

GitLostについて、あなたの手の届かないことが二つあります。バグを修正するのはGitHubであり、GitHubは対応を進めています。そしてエージェントは GitHubのサーバー上、GitHub Actionsの内側で走っており、あなたがインストールするどんな製品もその経路には座りません。Bromure Agentic Codingは開発者のMacの上で走ります。GitHubのサーバーサイドワークフローの前には立ちませんし、そう主張もしません。この種の問題へのあなたの接点が、他人が運用するホスト型エージェントだけなら、あなたが握れるレバーは Nomaが名指ししたもの、すなわちトークンを絞ることです。

持ち帰れる教訓は、自分の管理するマシンでコーディングエージェントを走らせる、増え続けるチームのためのものです。そこではアーキテクチャを決めるのはあなたです。GitLostから持ち越せる原則は二つあり、どちらもインジェクションを捕まえることに依存しません。環境を薄く保つこと。そうすればハイジャックされたエージェントが受け継ぐものに、取る価値のあるものはほとんどありません。認証情報をタスクに絞ること。そうすれば侵害の到達範囲は、アカウントの大きさではなく仕事の大きさになります。 Bromure Agentic Codingは、この原則の一つの配置です。

Bromure Agentic Codingは、あなたのコーディングエージェント、Claude Code、Codex、あるいはGrokを、使い捨てのプロファイル別Linux VMの中で走らせます。独自のカーネル、独自のファイルシステム、独自のネットワークスタックを持ち、Appleの Virtualizationフレームワークの上で、あなたのMacからハイパーバイザー一枚を隔てた場所です。プロファイルとは一貫した仕事のスコープ、一つのクライアントや一つのサービスのことです。本物の認証情報はそのVMに決して入りません。Bromureはそれをホスト上のブローカーの背後に保持し、ゲストには、読み取るツールには本物に見える偽の値を送り込みます。 Mac上のプロキシが、リクエストが出て行くワイヤー上でスタブを本物のシークレットに入れ替えます。その機構は鍵を握っていたサンドボックスが順を追って説明しています。認証情報ファイルにcatを実行するよう言いくるめられたエージェントが見つけるのはプレースホルダーです。欲しかった値は、境界のこちら側には一度もなかったからです。

同じ失敗を、あなたが制御できる場所で。左では、広範な本物の認証情報を受け継いだハイジャック済みエージェント（GitLostの形）が、その認証情報の届く限りまで到達する。漏洩が組織全体に及んだ理由だ。右では、エージェントは使い捨てのプロファイル別VMの中で走り、本物の鍵はホスト上のブローカーの背後に留まってワイヤー上で入れ替えられ、エージェントが実際に使うトークンはタスクに絞られて失効する。インジェクションはなお着弾し得る。違うのは着弾する世界の大きさだ。アカウント全体への恒久的な権限ではなく、タスク一件分の到達範囲と、セッションを閉じれば消滅するVMである。

エージェントが実際に使えるトークンはスコープ付きで失効するので、漏洩は恒久的な権限ではなく、狭く時間を区切られた利用に留まります。作業領域全体が、セッションを閉じれば消えるVMです。GitLostの形をこの構えに通しても、インジェクションはなお着弾し得ます。隔離はモデルの騙されを解かないからです。持ち出しを説き伏せられたエージェントは、認証情報に手を伸ばしてスタブを見つけ、作業中だった一つのプロファイルしかカバーしないトークンを使い、あなたのマシンの残りへの経路を持たない箱の中に座っています。侵害の到達範囲は、タスクの大きさなのです。

環境を薄く保つ

ハイジャックされたエージェントが差し出せるのは、環境が持っているものだけです。ゲストにはスタブ、本物のシークレットはホストに、という構えなら、着弾したインジェクションは鍵を期待した場所にプレースホルダーを見つけます。

認証情報をタスクに絞る

GitHubワークフローへのNomaの助言も同じ原則です。リポジトリ一つをカバーするトークンは、被害をリポジトリ一つで頭打ちにします。スコープと失効が、漏洩を狭く時間を区切られた出来事に変えるのです。

箱を使い捨てにする

作業領域が閉じれば消滅するVMなら、永続化には腰を据える場所がなく、爆発半径はセッションとともに終わります。

インジェクトされる前提で

検知は走らせる価値があり、そして取りこぼします。あらゆる言い回しを捕まえることに賭けるのではなく、取りこぼしの結果が生き延びられるものになるよう設計しましょう。

それでも残るもの

スコープを絞っても、本物のシークレットにエージェントを向けて安全になるわけではありません。生きた認証情報をVMの中に置き、エージェントがそれを読むよう言いくるめられたなら、どんなハイパーバイザーも読まれたことを取り消せません。変わるのはエージェントの届く範囲であって、騙されたモデルが騙されたままかどうかではないのです。Nomaが浮き彫りにした持ち出しの問題にも、隔離だけでは閉じられない部分があります。コメントを投稿し、PRを開き、メッセージを送れるエージェントは、その公認チャネルを通じてデータを外へ運べます。スコープが決めるのは、運べる範囲にどれだけのデータがあるかであって、チャネルが存在するかどうかではありません。そしてGitLost自体はGitHubのものです。パッチが出たら更新し、それまでの間はワークフローのトークンを絞っておきましょう。それがプラットフォームのあなたに手渡すレバーだからです。

エージェントをどこで走らせようと、研究者はインジェクションを報告し続けるでしょう。そしてエージェントの環境にある認証情報のスコープが、その一つひとつがログに残ったニアミスで終わるのか、公開ページの上の非公開リポジトリで終わるのかを、決め続けるのです。Nomaの修正と Bromureのアーキテクチャは同じ方向を指しています。エージェントには、タスクが必要とする到達範囲を与え、それより広いものは与えないことです。

Bromure Agentic Codingは、Claude Code、Codex、GrokをApple Silicon上の使い捨てLinux VMで走らせます。本物の認証情報はブローカーの背後のホストに保持されてワイヤー上で入れ替えられ、エージェントの入力にはプロンプトインジェクション検知が走り、すべての呼び出しはエージェントが編集できないトレースに書き込まれます。無料でオープンソース、今日から bromure.ioで使えます。この記事のきっかけとなった GitLostの分析を公開したNoma Securityに感謝します。