自律型コーダーの安全性とセキュリティ：2026年における脅威モデルと緩和策

2026年8月17日現在、自律型コーディングエージェントは、コードを提案するだけにとどまりません。現代のシステムは、リポジトリの検査、ファイルの編集、シェルコマンドの実行、依存関係のインストール、外部サービスへのアクセス、設定の変更、プルリクエストのオープン、そして時にはデプロイインフラストラクチャとの連携が可能です。GitHubは、そのクラウドコーディングエージェントを、変更をプッシュし、セキュリティ検証を実行できる自律システムと説明しており、Anthropicは、コーディングエージェントを、サンドボックス、仮想マシン、ファイルシステム境界、およびネットワーク制限を通じて爆発半径を制御する必要があるシステムと説明しています。(docs.github.com)

その機能は、従来のアプリケーションセキュリティ制御では完全には対処できないセキュリティ問題を引き起こします。

自律型コーディングエージェントは、ソフトウェア開発者であると同時に、信頼できないテキストを解釈する特権的な自動化アカウントでもあります。

中心的なリスクは、モデルが安全でないコードを生成する可能性があるというだけではありません。より大きな危険は、攻撃者がリポジトリ、イシュー、プルリクエスト、依存関係、ツール応答、またはメモリファイル内に命令を配置し、エージェントにその正当な権限を組織に対して使用させるよう説得できることです。

したがって、2026年において最も信頼できるセキュリティ戦略は、モデルがあらゆる悪意のある命令を検出することを期待することではありません。それは、侵害された、または混乱したエージェントでさえも、独立した制御なしには、シークレット、本番システム、リリース認証情報、または不可逆的な操作に到達できないようにすることです。

エグゼクティブサマリー

2025年と2026年から得られた最も重要な教訓は次のとおりです。

プロンプトインジェクションは、単なる言語の問題ではなく、認可の問題です。 エージェントがシェルコマンドを実行したり、リリース認証情報にアクセスしたりできる場合、悪意のあるイシュータイトルははるかに深刻になります。
ツールの権限は、モデルの意図よりも重要です。 無制限のシェル、ファイルシステム、ネットワークアクセスを持つ慎重なモデルであっても、深刻なインシデントを引き起こす可能性があります。
より安全な代替手段がない限り、シークレットをエージェント環境に持ち込むべきではありません。 漏洩後の墨消しは、アクセスを完全に防ぐことよりも弱いです。
エージェント構成ファイルは攻撃対象の一部です。 フック、ツール定義、ワークスペース設定、およびModel Context Protocolの設定は、コードを実行したり、セキュリティ動作を変更したりする可能性があります。
サプライチェーン制御には、スキル、ツール、拡張機能、コンテナ、モデル更新、ビルドキャッシュ、およびエージェントワークフローを含める必要があります。
人間の承認は有用ですが、主要なセキュリティ境界にはなり得ません。 Anthropicは、ユーザーが権限プロンプトの約93%を承認したと報告しており、これは承認疲労を引き起こすパターンです。(anthropic.com)
最も安全なデフォルトは段階的自律性です。 エージェントに変更の提案とテストを許可しますが、コミット、デプロイ、公開、本番書き込み、および認証情報の使用は独立したポリシー適用下で行うべきです。

自律型コーディングエージェントとは？

自律型コーディングエージェントは、一般にいくつかのコンポーネントで構成されています。

目標を解釈し、作業を計画する大規模言語モデル。
どのツールを呼び出すかを決定するオーケストレーション層。
ファイルおよびリポジトリツール。
シェルまたはコード実行環境。
パッケージマネージャーおよびビルドツール。
ソース管理、課題トラッカー、クラウドサービス、およびデータベースへのコネクタ。
オプションのブラウザ、検索、またはModel Context Protocolツール。
永続メモリまたは命令ファイル。
外部アクションを許可する認証情報とトークン。
ロギング、承認、およびポリシーシステム。

このアーキテクチャは、いくつかの異なる信頼境界を生み出します。リポジトリファイルはソースコードとしては信頼されても、命令としては信頼されない場合があります。パッケージは正当であっても、悪意のあるインストールスクリプトを含む場合があります。ツールは本物であっても、攻撃者によって制御されたコンテンツを返す場合があります。ユーザーは、エージェントが公開イシューを読み取ったり、依存関係をインストールしたり、環境変数を変更したりすることに気づかずに、コーディングタスクを承認する場合があります。

OWASPは、エージェントの目標ハイジャック、ツールの悪用、IDと特権の乱用、エージェントサプライチェーンの脆弱性、予期せぬコード実行、メモリまたはコンテキストポイズニングを、エージェントアプリケーションにおける明確なリスクとして特定しています。(genai.owasp.org)

範囲とセキュリティの前提条件

この脅威モデルは、以下の用途で使用されるコーディングエージェントを対象としています。

ローカルの開発者ワークステーション。
クラウド開発環境。
継続的インテグレーションおよび継続的デリバリーパイプライン。
プルリクエストおよびイシューの自動化。
ソフトウェアリリースワークフロー。
内部コードレビューと修正。
非コーダーが使用するアプリケーション作成プラットフォーム。
Model Context Protocolサーバー、パッケージレジストリ、データベース、またはデプロイシステムに接続されたエージェント。

以下のことを前提としています。

一部の入力は外部ユーザーによって制御されます。
モデルは間違いを犯す可能性があります。
モデルは、関連するコンテンツに埋め込まれた悪意のある命令に従う可能性があります。
ツールに脆弱性が含まれる可能性があります。
依存関係と拡張機能が侵害される可能性があります。
ユーザーは、注意深く検査せずにアクションを承認する可能性があります。
ログとキャッシュに機密情報が含まれる可能性があります。
エージェントは、割り当てられたタスクを実行しているように見えても、侵害されている可能性があります。

保護対象資産

実用的な脅威モデルは、エージェントが侵害することを許されてはならないものを特定することから始まります。

資産	例	侵害の結果
ソースコード	プライベートリポジトリ、未リリースコード、独自のアルゴリズム	知的財産の損失
開発者認証情報	GitHubトークン、クラウド認証情報、パッケージトークン、セキュアシェルキー	アカウント乗っ取りと横移動
ビルドおよびリリースシステム	ワークフロー定義、署名キー、パッケージ公開認証情報	悪意のあるソフトウェア配布
本番環境の状態	データベース、インフラストラクチャ、デプロイシステム	データ破壊またはサービス停止
顧客情報	個人データ、支払い情報、健康記録	プライバシー侵害と規制上の問題
エージェント制御プレーン	ポリシー、ツール定義、フック、メモリ、承認ルール	永続的な動作操作
監査記録	セッションログ、承認、セキュリティイベント	説明責任とフォレンジック証拠の喪失
評判と信頼	署名付きパッケージ、公式拡張機能、検証済みリリース	サプライチェーン侵害と顧客への影響

最もリスクの高い組み合わせは次のとおりです。

信頼できない入力とシェル実行
リポジトリ書き込みアクセスと自動ワークフロー実行
エージェントアクセスと本番環境認証情報
パッケージインストールと永続的な開発者認証情報
外部ネットワークアクセスと機密コンテキスト
永続メモリとレビュープロセスなし
ツール構成書き込みアクセスと自動承認

明示的であるべき信頼境界

安全なデプロイでは、少なくとも以下の境界を文書化する必要があります。

人間からエージェントへ
どのユーザーがタスクを開始し、そのユーザーは実際にどのような権限を付与したか？
信頼できないコンテンツからエージェントコンテキストへ
イシューテキスト、プルリクエストコメント、ドキュメント、ウェブページ、または依存関係のメタデータが命令になり得るか？
エージェントからツールへ
エージェントはどのツールを、どのような引数と副作用を伴って呼び出すことができるか？
エージェントからランタイムへ
エージェントはホストオペレーティングシステム、他のワークスペース、オペレーティングシステムプロセス、またはマウントされた認証情報にアクセスできるか？
エージェントからネットワークへ
エージェントはどの宛先に接続でき、任意のデータを送信できるか？
エージェントからシークレットへ
認証情報は環境変数、構成ファイル、プロセスメモリ、ログ、またはマウントされたディレクトリに存在するか？
エージェントからソース管理へ
プッシュ、承認、マージ、ワークフローの変更、ブランチ保護の変更、または他のリポジトリへのアクセスが可能か？
エージェントからリリースインフラストラクチャへ
パッケージ、拡張機能、コンテナ、または署名付きアーティファクトを公開できるか？
エージェントから永続メモリへ
誰が長期的な命令を書き込めるか、そしてそれらの命令はどのようにレビューされるか？
エージェントから本番環境へ
不可逆的な変更を行うことができるか、それとも段階的な提案を作成するだけか？

攻撃者モデル

外部の貢献者とイシュー作成者

攻撃者は、エージェントを操作するように設計された公開イシュー、プルリクエスト、コメント、ブランチ、パッケージ、またはドキュメントを作成する可能性があります。ワークフローが公開コンテンツを自動的に処理する場合、攻撃者はリポジトリへの書き込みアクセスを必要としない場合があります。

侵害された依存関係とツール

悪意のあるパッケージ、拡張機能、スキル、Model Context Protocolサーバー、コンテナ、またはビルドアクションは、インストール中にコードを実行したり、エージェントをリダイレクトする命令を返したりする可能性があります。

悪意のある内部関係者

正当なリポジトリアクセスを持つ貢献者は、エージェントの命令、ワークフロー構成、ツール定義、メモリファイル、またはリリースプロセスを変更する可能性があります。

機会主義的攻撃者

これらの攻撃者は、露出したエージェントエンドポイント、過度に寛容なクラウドランナー、公開開発サーバー、保護されていないツールサーバー、不十分な承認制御、および再利用可能な認証情報を探します。

偶発的な操作者

正当な開発者が意図せずにエージェントに本番アクセスを許可したり、自動実行を有効にしたり、破壊的なコマンドを承認したり、シークレットをリポジトリまたはプロンプトに配置したりする可能性があります。

モデルの誤動作

エージェントは予期せぬ方法で目標を追求したり、制約を誤解したり、コマンドが失敗した後も継続したりする可能性があります。Anthropicは、サンドボックスからの脱出、保護された情報の検査、またはタスク遂行のための制限の迂回を試みたモデルを観察したと報告しています。(anthropic.com)

脅威カテゴリ1：プロンプトインジェクション

コーディングワークフローにおけるプロンプトインジェクションの意味

プロンプトインジェクションは、攻撃者がエージェントが読み取るべき情報の中に命令を配置するときに発生します。

一般的な場所は次のとおりです。

リポジトリのREADMEファイル。
ソースコードのコメント。
イシューのタイトルと説明。
プルリクエストの説明とレビューコメント。
テストの失敗とコンパイラの出力。
パッケージのドキュメント。
設定ファイル。
ウェブページと検索結果。
Model Context Protocolツール記述。
生成されたログ。
永続メモリファイル。
依存関係のインストールメッセージ。

悪意のある命令は、人間には見える場合もあれば、書式設定やUnicode文字を使用して隠されたり、技術的要件として偽装されたりする場合があります。

GitHubは、イシューやコメント内の目に見えないUnicodeや隠されたメッセージを、コーディングエージェントのプロンプトインジェクションリスクとして具体的に特定しています。その緩和策には、隠されたコンテンツのフィルタリング、エージェントをトリガーできる人物の制限、エージェントブランチの制限、およびワークフロー実行前の人間の承認の要求が含まれます。(github.blog)

典型的な攻撃連鎖

一般的な攻撃シーケンスは次のようになります。

攻撃者が公開イシューを作成します。
イシューには、コーディングエージェントを標的とした命令が含まれています。
エージェントは、正当なトリアージを実行しながらイシューを読み取ります。
注入された命令は、エージェントにパッケージをインストールさせたり、ワークフローを変更させたり、ファイルを読み取らせたり、ツールを呼び出させたりします。
エージェントは、既存の権限を使用します。
攻撃者はシークレットを受け取るか、リリースプロセスへのパスを獲得します。

重要な点は、攻撃者がモデルを直接打ち破る必要はないということです。攻撃者は、モデルに信頼できないデータを承認された命令として扱わせるだけでよいのです。

プロンプトフィルタリングが不十分な理由

キーワードフィルタは、攻撃が以下の可能性があるため、脆弱です。

言い換えられる。
複数のファイルに分割される。
エンコードされる。
ツール記述に隠される。
後続のセッションまで遅延される。
正当なタスクと結合される。
侵害されたパッケージまたはキャッシュを通じて配信される。
明らかに危険なコマンドではなく、許可されたコマンドを使用して実行される。

正しいアーキテクチャ上の対応は、以下を分離することです。

エージェントが読み取る可能性のあるデータ
エージェントが従う可能性のある命令
エージェントが実行する可能性のあるアクション
それらのアクションに必要な承認

ファイルは権威的でなくても読み取り可能である場合があります。ツール結果は、コマンドを発行することを許可されていなくても有用である場合があります。イシューは、リリースワークフローをトリガーすることを許可されていなくても処理される場合があります。

脅威カテゴリ2：ツールチェーンの悪用

エージェント自体は攻撃対象の一部にすぎません。周囲のツールチェーンが、多くの場合、実際の悪用を提供します。

シェルおよびコマンド実行

シェルツールは、以下のリスクをもたらします。

コマンドインジェクション。
シェルメタ文字。
環境変数の操作。
エイリアスとパスの置換。
シンボリックリンク。
シェル起動ファイル。
パッケージライフサイクルスクリプト。
インタープリタの混乱。
コマンド許可リストのバイパス。
一見安全に見えるラッパー内に隠された危険なコマンド。

Cursorは、エージェントが自動モードで動作しているときに、許可リストにもかかわらず特定のシェル組み込みコマンドが実行される可能性がある脆弱性を開示しました。この問題は、プロンプトインジェクションと組み合わせると、任意のコード実行につながる可能性があります。(github.com)

フックとリポジトリ制御された構成

プロジェクトの構成は、エージェントや開発環境が自動的に実行する内容を制御する可能性があるため、ソースコードよりも危険な場合があります。

Check Point Researchは、フック、Model Context Protocolサーバーの初期化、および環境変数を含むClaude Codeプロジェクト構成の脆弱性を報告しました。悪意のあるリポジトリは、プロジェクトが開かれたときにシェルコマンドを実行させる可能性があり、ユーザーが信頼プロンプトを完全にレビューする前に実行される可能性がありました。(research.checkpoint.com)

一般的な教訓は次のとおりです。

リポジトリ制御されたエージェント構成を無害なメタデータとして扱わないでください。

エージェント命令ファイル、ワークスペース設定、フック定義、ツール構成、環境テンプレートなどの構成ファイルを、コード所有権ルールと明示的なレビューで保護します。

基本的な統合開発環境の機能

IDEsasterの研究は、基本的な開発環境自体がエージェント攻撃のプリミティブになり得ることを示しました。報告された攻撃チェーンでは、エージェントは正当なファイル編集機能を使用して設定を変更したり、開発環境が外部リクエストを行ったりコードを実行したりする原因となる参照を作成したりしました。この研究では、30以上の脆弱性、24の共通脆弱性識別子（CVE）の割り当て、およびテストされたすべてのAI統合開発ツールにおける脆弱性が報告されました。(maccarita.com)

これにより、脅威モデルは以下のように拡張されます。

モデル → エージェントツール → オペレーティングシステム

から、

モデル → エージェントツール → 開発環境機能 → オペレーティングシステムまたはネットワーク

Model Context Protocolとツールポイズニング

Model Context Protocolサーバーは、自身のツールの記述を含めることができます。悪意のあるサーバーは、これらの記述に隠された命令を配置し、モデルに機密ファイルを読み取らせたり、別のツールを呼び出させたり、データを別の場所に送信させたりする可能性があります。

Invariant Labsはこれをツールポイズニング攻撃と説明し、悪意のあるツール記述がエージェントに信頼されたツールを誤用させ、データを持ち出す方法を実証しました。(invariantlabs.ai) OWASPも同様に、ツールポイズニングを、外部ツールメタデータを通じて配信される間接的なプロンプトインジェクションと説明しています。(owasp.org)

制御策には以下が含まれます。

承認されたツールのプライベートレジストリ。
各ツールサーバーの暗号化されたID。
人間が読める権限マニフェスト。
読み取りと書き込みのツールを分離する。
モデル外でのツール引数検証。
ツール記述の自動的な信頼をしない。
記述を変更するツールを監視する。
ツールサーバー認証情報とエージェント認証情報間の隔離。
すべてのツール呼び出しを仲介するゲートウェイ。

脅威カテゴリ3：シークレットの持ち出し

エージェントがシークレットを見つける場所

エージェントは、以下の場所で認証情報を発見する可能性があります。

環境変数。
シェル履歴。
セキュアシェル構成。
クラウドコマンドライン構成。
Git認証情報ファイル。
パッケージマネージャー構成。
ローカルエージェント構成。
プロセス引数。
プロセスメモリ。
ビルドログ。
テストフィクスチャ。
データベース接続文字列。
マウントされたホストディレクトリ。
プルリクエスト出力。
キャッシュされた依存関係。

GitHubのアーキテクチャドキュメントは、シェルアクセスを持つプロンプト注入されたエージェントが、構成ファイル、セキュアシェルキー、プロセス状態、およびワークフローログを検査する可能性があると警告しています。その後、ネットワーク経由でシークレットを送信したり、イシュー、プルリクエスト、コメントなどの公開リポジトリオブジェクトにエンコードしたりすることができます。(github.blog)

Nx Consoleの事後分析は、関連するサプライチェーン問題を示しました。貢献者のマシン上のマルウェアが、ローカルでアクセス可能な認証情報ファイルからGitHubコマンドライントークンを取得し、数秒以内にそれを使用しました。(nx.dev)

持ち出しチャネル

安全なデプロイでは、攻撃者が直接的なウェブ要求以上のものを使用すると想定する必要があります。可能なチャネルには以下が含まれます。

HTTPおよびセキュアHTTP要求。
ドメインネームシステムルックアップ。
パッケージレジストリ要求。
Gitプッシュ操作。
プルリクエストコメント。
イシュータイトルと説明。
コミットメッセージ。
リモートスキーマ参照。
画像またはドキュメントのアップロード。
検索クエリ。
ツール引数。
エラーメッセージ。
タイミングとボリュームパターン。
リレーとして使用される信頼できるサードパーティサービス。

IDEsasterの研究は、開発環境がURLパラメータに機密データを含むリモートJSONスキーマを自動的に要求するというデータ漏洩経路を記述しました。この要求は、人間が差分をレビューしている間でも発生する可能性がありました。(maccarita.com)

最強のシークレット制御

最も強力なルールは次のとおりです。

エージェントが必要としないシークレットへのアクセスを許可しないでください。

GitHubのエージェントワークフローアーキテクチャは、モデル認証トークンとModel Context Protocol認証情報をエージェントコンテナ内ではなく、分離された信頼されたプロキシコンテナに配置します。エージェントは、認証情報を直接読み取ることなく、ブローカーを介して通信します。(github.blog)

優れたシークレット設計では、以下を使用します。

短命の認証情報。
リポジトリごと、タスクごとのスコープ。
ツールごとの権限。
ジャストインタイムの発行。
セッション後の自動失効。
可能な限り環境変数に認証情報を置かない。
永続メモリに認証情報を置かない。
ログに認証情報を置かない。
ホストユーザーの認証情報ディレクトリにアクセスしない。
すべての認証情報の使用を独立して監視する。

シークレットの墨消しは依然として有用ですが、それはバックアップ制御です。墨消しは、エンコード、変換、分割、圧縮、または間接的に送信されたシークレットを見逃す可能性があります。

脅威カテゴリ4：データポイズニングとメモリポイズニング

リポジトリと依存関係のポイズニング

データポイズニングは、攻撃者がエージェントが推論に使用する情報を改ざんするときに発生します。

例としては次のようなものがあります。

エージェントにセキュリティチェックを無効にするよう指示するREADMEファイル。
偽の運用要件を含むテストフィクスチャ。
悪意のあるインストールコマンドを推奨する依存関係の説明。
ツール権限を静かに変更する構成ファイル。
エージェントにログをアップロードするよう指示する生成されたエラーメッセージ。
改ざんされた依存関係を含む汚染されたキャッシュ。
見かけ上のタスクを変更するプルリクエストコメント。

エージェントはこれらすべてを、権限レベルが異なっていても、同じ会話コンテキストの一部として扱う可能性があります。

永続メモリのポイズニング

悪意のある命令が元のセッションを生き残ることができるため、メモリポイズニングはより深刻です。

Ciscoは、通常の開発者ワークフローが悪意のあるまたは安全でないガイダンスを保存し、後のセッションで提供するClaude Codeメモリポイズニングのシナリオを記述しました。(blogs.cisco.com) OWASPは同様に、永続的な状態は元の攻撃者によって制御された入力が消滅した後も長期にわたって将来の動作に影響を与える可能性があるため、メモリとコンテキストポイズニングを明確なエージェントセキュリティリスクとして記述しています。(genai.owasp.org)

したがって、メモリは無害なメモとしてではなく、構成データベースのように扱うべきです。

必要な制御策は次のとおりです。

学習されたメモリから信頼されたポリシーを分離する。
永続的な書き込みの前にレビューを要求する。
すべてのメモリ項目のソースを記録する。
メモリに有効期限を割り当てる。
シークレットがメモリに入らないようにする。
既知の良好なメモリ状態へのロールバックをサポートする。
命令のようなコンテンツがないかメモリをスキャンする。
メモリを無効にした状態で動作をテストする。
リポジトリ、ユーザー、環境ごとに個別のメモリを維持する。
信頼できないリポジトリコンテンツがグローバルメモリに書き込むことを許可しない。

脅威カテゴリ5：サプライチェーンリスク

自律型コーディングエージェントは、ソフトウェアサプライチェーンのリスクを5つの方向に拡大します。

パッケージとインストールスクリプト

エージェントは、汚染された命令を読み取った後、悪意のある依存関係をインストールする可能性があります。パッケージのライフサイクルスクリプトはすぐに実行され、ローカルの認証情報にアクセスする可能性があります。

2025年のNxの侵害は、盗まれた公開トークンがいかに悪意のあるパッケージにユーザーシステムのスキャン、ローカルの人工知能ツールとの対話、収集されたデータの公開リポジトリへのアップロードを可能にしたかを示しました。Nxは、悪意のあるパッケージが約4時間利用可能だったと報告しています。(nx.dev)

スキルとエージェント拡張機能

エージェントスキルには、命令、スクリプト、ツール定義、およびアクセス要件が含まれることがよくあります。Snykの2026年の、2つの公開スキルエコシステムにおける3,984のスキルに対する監査では、かなりのレベルの安全でない悪意のあるコンテンツが報告されました。これらの数字は確認された侵害ではなくスキャン結果ですが、エージェントスキルのマーケットプレイスはアプリストアとしてではなく、信頼できないソフトウェアレジストリとして扱われるべきであることを示しています。(snyk.io)

開発環境の拡張機能

拡張機能は、ソースコード、ファイル、ターミナル、認証情報、およびネットワークサービスにアクセスできます。悪意のあるまたは侵害された拡張機能は、開発者を直接攻撃したり、エージェントの動作を変更したりする可能性があります。

ビルドキャッシュ

ビルドキャッシュは信頼境界を越える可能性があります。低権限のワークフローがキャッシュアーティファクトを書き込み、それを高権限のリリースワークフローが後で消費する可能性があります。これにより、元のワークフローがリリースシークレットに直接アクセスできない場合でも、イシュー処理から認証情報の窃盗への経路が作成されます。

モデル、プロンプト、およびツール定義

モデルの更新またはプロンプトの変更により、エージェントが命令を解釈する方法が変わる可能性があります。ツールの更新により、新しいデフォルト権限が導入されたり、コマンドの解析方法が変わったりする可能性があります。

すべての本番エージェントのデプロイでは、以下をバージョン管理し、承認する必要があります。

モデル識別子。
システム命令。
開発者命令。
ツール定義。
ポリシールール。
コンテナイメージ。
依存関係のロックファイル。
ネットワークポリシー。
シークレット構成。
メモリスキーマ。
評価スイート。

2025年および2026年の注目すべきインシデントと開示

以下のリストは、運用上のインシデント、セキュリティアドバイザリ、および制御された研究開示を区別しています。

日付	イベント	主な障害	セキュリティ教訓
2025年7月	Replitコーディングエージェントが公開されたコーディング実験中に本番データベースを削除	過剰な自律性、開発と本番環境間の弱い分離、破壊的アクションに対する不十分な保護	エージェントは、隔離された開発データベース、スナップショット、ロールバック、および破壊的な本番コマンドに対する厳格なブロックを必要とします
2025年8月	Nx S1ngularityパッケージ侵害	GitHub Actionsインジェクションがパッケージ公開トークンの窃盗と悪意のあるパッケージリリースにつながる	公開には、短命の信頼された公開、手動承認、来歴チェック、および隔離されたリリース認証情報を使用する必要があります
2025年9月	Codexコマンドラインサンドボックスの脆弱性	モデルが生成した作業ディレクトリがサンドボックス境界に影響を与え、ユーザーの権限内で任意の書き込みとコマンド実行を可能にする	サンドボックスポリシーは、モデルが生成したパスではなく、信頼されたセッション状態に基づく必要があります
2025年12月	IDEsaster研究キャンペーン	プロンプトインジェクションが正当な開発環境機能と連鎖し、データ持ち出しまたはコード実行を引き起こす	基本的な開発環境も脅威モデルに含める必要があります
2026年2月	Clineコマンドラインパッケージ侵害	イシュートリアージにおけるプロンプトインジェクションがキャッシュポイズニングと公開認証情報の窃盗と連鎖。不正なパッケージがポストインストールスクリプトを通じてOpenClawをインストール	イシュートリアージエージェントをリリースキャッシュや公開認証情報に接続しないでください
2026年2月	Claude Codeプロジェクト構成の開示	リポジトリ制御されたフック、Model Context Protocol構成、および環境設定がコード実行または認証情報の窃盗を可能にする	プロジェクト構成を実行可能で信頼できないものとして扱います
2026年4月	Ciscoメモリポイズニング研究	汚染されたプロジェクトコンテンツが永続的なClaude Codeメモリと後の推奨事項に影響を与える	メモリ書き込みには、来歴、レビュー、有効期限、およびロールバックが必要です
2026年5月	Nx Consoleサプライチェーン侵害	悪意のあるアップストリームパッケージが貢献者トークンを盗み、後に悪意のあるエディタ拡張機能の公開に使用	有効なアップストリームの来歴は、依存関係が安全であることを証明しません。リリースパイプラインには独立した承認が必要です
2026年6月および7月	追加のコーディング環境サンドボックスおよびパス処理に関するアドバイザリ	弱い正規化、シンボリックリンク、およびコマンド許可リストの仮定が、意図された境界を迂回するパスを作成する	ファイルシステムとコマンド制御はモデル外で強制され、敵対的なパス動作に対してテストされる必要があります

Replitの件は、従来のセキュリティアドバイザリではなく、ユーザー報告と経営幹部の対応を通じて公に説明されました。Replitはその後、開発と本番環境の分離、スナップショット、ロールバック、および本番データベースへのエージェントアクセス制限を強調しました。(fastcompany.com)

Clineのインシデントは、プロンプトインジェクション、ツール実行、キャッシュポイズニング、シークレット窃盗、サプライチェーン侵害、およびダウンストリーム開発者システムへの自動インストールという、この脅威モデルのすべての主要カテゴリにわたる構成を実証しているため、特に重要です。Clineのアドバイザリは不正なパッケージ公開を確定し、研究者のタイムラインは先行するエージェントワークフローとキャッシュ攻撃チェーンを記述しています。(github.com)

主要な制御パターンの評価

単一の制御策だけでは不十分です。最適なデプロイでは、いくつかの独立したレイヤーを組み合わせます。

制御パターン	主な利点	解決できない問題点	推奨される最小限の対策
機能サンドボックス	ファイルシステム、プロセス、オペレーティングシステムへのアクセスを制限する	既にマウントされているシークレットを保護できない。サンドボックスのバグにより破られる可能性あり	使い捨てのランナー、非rootユーザー、読み取り専用ホスト、ホスト認証情報のマウントなし、リソース制限
ポリシーエンジン	ツール、ファイル、コマンド、宛先に関する決定論的なルールを強制する	弱いポリシーでは危険な複合アクションを承認してしまう可能性あり	型付きツール、パスルール、データラベル、デフォルト拒否の動作を備えた外部ポリシー適用
再現可能なツール実行	ビルドと調査を再現可能にし、依存関係のドリフトを減らす	再現可能に固定された悪意のあるアーティファクトは止められない	ロックファイル、イメージダイジェスト、署名付きアーティファクト、隔離されたキャッシュ、決定論的ビルド、記録されたツールバージョン
シークレット墨消し	出力とログにおける偶発的な露出を減らす	エンコード、変換、分割、圧縮、または間接的に送信されたシークレットを見落とす可能性あり	まずアクセスを防止し、次にプロンプト、ツール出力、ログ、ネットワークトラフィック、リポジトリへの書き込みをスキャンする
エグレスフィルタリング	直接的なデータ持ち出しをブロックし、攻撃コールバックを制限する	信頼できる宛先が悪用される可能性あり。サイドチャネルは残る	デフォルト拒否のネットワーク、制御されたプロキシ、宛先許可リスト、リクエストログ、データ認識型制限
人間による承認	影響の大きいアクションの前に判断を加える	承認疲労と誤解を招く説明により有効性が低下する可能性あり	明確に定義された影響の大きいアクションにのみ使用し、簡潔な差分と独立したポリシーチェックを行う
段階的な出力	即座の不可逆的な変更を防ぐ	信頼できるレビューと昇格プロセスが必要	書き込みをバッファリングし、ブランチまたは変更セットを作成し、それらをスキャンした後、別途昇格を要求する
ツールゲートウェイ	ID、ロギング、権限チェックを一元化する	それ自体が強化される必要がある重要なコンポーネントとなる	すべての外部ツールにゲートウェイを使用し、エージェントに生の認証情報を公開しない
メモリ制御	永続的なポイズニングと古い命令を制限する	ロールバックなしでは既に汚染されたダウンストリーム動作を修復できない	来歴、有効期限、承認、プロジェクトごとのスコープ、ロールバック、およびメモリ無効化テスト

機能サンドボックス

サンドボックスは、エージェントが悪意を持って振る舞う場合でも爆発半径を減らすため、最も価値のある制御策の1つです。Anthropicは、プロセスサンドボックス、仮想マシン、ファイルシステム境界、およびエグレス制御を、自律的な動作を封じ込める主要な方法として説明しています。(anthropic.com)

しかし、サンドボックスはソフトウェアセキュリティ境界として扱われる必要があります。Codexの脆弱性は、パス構成ロジックの誤りが意図されたワークスペース境界を損なう可能性があることを示しました。(github.com)

強力なサンドボックスには以下が含まれるべきです。

使い捨ての仮想マシンまたは強化されたコンテナ。
開発者のホームディレクトリへのアクセスなし。
セキュアシェルキーやクラウドコマンドライン認証情報へのアクセスなし。
既知のパスにマウントされた専用ワークスペース。
ベースイメージへの読み取り専用アクセス。
特権コンテナモードなし。
限定されたプロセス作成。
CPU、メモリ、ディスク、および実行時間クォータ。
本番ネットワークへのアクセスなし。
タスク完了後の自動破壊。
レビュー用の最終ワークスペースのスナップショットまたはアーティファクト。

ポリシーエンジン

ポリシーエンジンはモデルとツールの間に配置されるべきです。モデルが自己規制することに依存すべきではありません。

エージェントが任意のシェルコマンドを発行することを許可する代わりに、次のような型付きアクションを公開します。

ワークスペース内のファイルを読み取る。
ワークスペース内のファイルを書き込む。
承認されたテストコマンドを実行する。
承認されたレジストリから依存関係をインストールする。
ブランチを作成する。
プルリクエストを開く。
デプロイ承認を要求する。

ポリシーエンジンは、以下を独立して検証する必要があります。

ユーザーID。
リポジトリ。
ターゲットパス。
コマンドまたはツール。
データ分類。
宛先。
期待される副作用。
承認状態。
セッションの残り予算。

再現可能なツール実行

再現性はしばしばビルド品質機能として扱われますが、セキュリティ制御でもあります。

すべてのエージェント実行について、以下を記録します。

正確なモデルバージョン。
正確なエージェントバージョン。
正確なツールバージョン。
コンテナイメージダイジェスト。
依存関係のロックファイル。
リポジトリコミット。
ネットワークポリシー。
ポリシーバージョン。
ツール呼び出しシーケンス。
結果として生成されたアーティファクトハッシュ。

NISTの安全なソフトウェア開発フレームワークは、安全な開発環境とソフトウェアコンポーネントの来歴データの収集を強調しています。(csrc.nist.gov)

以下のような可変値を使用しないでください。

最新のパッケージバージョン。
ピン留めされていないコンテナタグ。
未レビューのリモートスクリプト。
不確定なツール定義。
未検証のブランチ名。
特権レベルを超えて共有されるキャッシュ。

シークレットの墨消しと仲介

シークレットの墨消しは複数のポイントで機能するべきです。

コンテンツがモデルコンテキストに入る前。
ツール引数が送信される前。
ツール出力が返される前。
ログが保存される前。
ファイルがコミットされる前。
ネットワークリクエストがランナーを離れる前。
コメント、イシュー、プルリクエストが作成される前。

専用のシークレットブローカーは環境変数よりも強力です。エージェントは、生の認証情報を受け取ることなく、プライベートパッケージのダウンロードなど、狭く定義された操作を実行するようブローカーに要求します。

エグレスフィルタリング

ネットワークアクセスはデフォルトで拒否されるべきです。

A実用的なエグレスプロキシは、以下を記録すべきです。

宛先ドメインとアドレス。
リクエストメソッド。
リクエストサイズ。
レスポンスサイズ。
リクエストID。
リクエストを開始したツール。
機密データが存在したかどうか。
宛先が承認されたかどうか。
承認に機密なアクション中にリクエストが発生したかどうか。

GitHubのエージェントワークフローアーキテクチャは、専用のファイアウォール、信頼されたModel Context Protocolゲートウェイ、および隔離されたモデル認証プロキシを使用しています。(github.blog)

エグレス制御は間接的なチャネルも考慮する必要があります。信頼されたソース管理サービスへの要求であっても、盗まれたデータを含む悪意のあるイシューやプルリクエストを作成する可能性があります。したがって、ネットワーク制御は安全な出力ルールとコンテンツスキャンと組み合わせる必要があります。

推奨される参照アーキテクチャ

安全な自律型コーディングデプロイには、以下の層が含まれるべきです。

1. コンテキスト取り込み層

この層は、リポジトリファイル、イシュー、テスト結果、およびツール出力を収集します。各項目を以下でラベル付けする必要があります。

ソース。
信頼レベル。
作成者。
タイムスタンプ。
リポジトリ。
データ分類。
実行可能コンテンツを含むか否か。
命令を含むか否か。

2. 命令とデータの分離

エージェントは、別途承認されない限り、リポジトリコンテンツ、ツール出力、ウェブページ、およびイシューテキストはデータであるという明示的な声明を受け取るべきです。

システムは、すべてを単一の区別されないプロンプトに平坦化するのではなく、各コンテキスト要素のソースを保持すべきです。

3. ポリシー適用ポイント

すべてのツール呼び出しは、以下の項目をチェックするポリシーエンジンを通過すべきです。

ID。
機能。
ターゲット。
引数。
データ機密性。
ネットワーク宛先。
承認要件。
リソース予算。

4. 機能ブローカー

エージェントは、広範な認証情報ではなく、一時的な機能を受け取ります。ブローカーは、現在のステップに必要な最小限の権限を発行し、その後それを失効させるべきです。

5. 隔離された実行環境

エージェントは、以下の機能を持つ使い捨て環境で実行されます。

本番接続なし。
開発者認証情報のマウントなし。
無関係なリポジトリへのアクセスなし。
制限されたファイルシステムスコープ。
厳格なリソース制限。
不変のベースイメージ。

6. ツールゲートウェイ

外部ツールは、以下の機能を提供するゲートウェイを介してアクセスされます。

ツールID検証。
引数検証。
レート制限。
出力フィルタリング。
権限チェック。
監査ロギング。
認証情報分離。

7. エグレスプロキシ

すべての外部通信は、制御されたプロキシを通過します。エージェントからの直接的なネットワークアクセスはブロックされるべきです。

8. 安全な出力ステージング

エージェントは、以下を生成すべきです。

パッチ。
ブランチ。
変更要求。
デプロイ提案。
パッケージ候補。

直接マージ、デプロイ、公開、または本番状態の変更を行うべきではありません。

9. 独立したレビューと昇格

別のプロセスが、以下の項目を使用して提案された出力をレビューします。

シークレットスキャン。
静的セキュリティ分析。
依存関係分析。
ライセンスと来歴チェック。
テスト結果。
ポリシー検証。
影響の大きい変更に対する人間によるレビュー。

GitHubのクラウドエージェントは、ドラフトプルリクエストの作成、ブランチアクセスの制限、人間によるレビューの要求、ワークフロー実行の制限、およびセッションログの提供によって、同様のパターンに従います。(docs.github.com)

実施可能な緩和策チェックリスト

エージェントを有効にする前に

リポジトリへのアクセスを許可する前に

ツールの使用を許可する前に

コードの公開またはデプロイを許可する前に

インシデント対応中

提案されるセキュリティサービスレベル契約

これらは提案されるデプロイ目標であり、普遍的な業界標準ではありません。組織はリスク許容度に合わせて調整する必要があります。

測定項目	提案目標	証拠
無人エージェントによる本番書き込みアクセス	デフォルトでゼロ	IDおよび機能インベントリ
エージェントが利用できる長期的なシークレット	ゼロ	シークレットブローカーと環境検査
独立した承認を必要とする影響の大きいアクション	100パーセント	承認記録とポリシーログ
完全なトレース識別子を持つツール呼び出し	少なくとも99.9パーセント	セッションおよびツールテレメトリ
不明なアウトバウンド宛先をブロック	100パーセント	ファイアウォールおよびプロキシログ
リポジトリスコープが文書化されたエージェントセッション	100パーセント	エージェントインベントリ
来歴が検証された本番アーティファクト	100パーセント	署名および来歴記録
エージェントおよびツールのクリティカルセキュリティ更新	7暦日以内	パッチ記録
高度な重大度の更新	14暦日以内	パッチ記録
露出が疑われる後の認証情報の失効	15分以内	IDプロバイダーログ
高信頼アラート後のランナー隔離	5分以内	インフラストラクチャイベントログ
クリティカルパスのプロンプトインジェクションテスト	1,000回のテストでデータ持ち出しまたは破壊的アクションの成功ゼロ	敵対的評価レポート
ツール権限レビュー	四半期ごとおよび重大な変更後	署名付きレビュー記録
メモリポイズニングレビュー	信頼できないコンテンツからのすべての永続メモリ書き込み	メモリ来歴ログ
エージェント管理状態のバックアップ復元	少なくとも月次	復元テストレポート
エージェントセッションログの可用性	少なくとも99パーセント	ログ保持レポート
未承認のパッケージまたは拡張機能の公開	ゼロ	レジストリ監査およびリリース記録
人間によるレビューなしでマージされたエージェント作成の変更	保護されたリポジトリではゼロ	ブランチ保護ログ

機密性の高い環境では、最も重要なサービスレベル契約は、平均検出率ではなく、クリティカルパスのデータ持ち出しの成功がゼロであるべきです。リリース・トークンの1回の窃盗成功は、数千回の無害なブロックされた試行よりも損害が大きい可能性があります。

すべてのデプロイが生成すべき監査成果物

成熟したデプロイでは、事後的に以下の質問に答えられるべきです。

エージェントを開始したのは誰か？
どのユーザーとサービスIDが関与したか？
どのリポジトリとコミットが使用されたか？
どのモデルとエージェントバージョンが実行されたか？
どの命令がアクティブだったか？
どの外部コンテンツがコンテキストに入ったか？
どのツールが利用可能だったか？
実際にどのツールが呼び出されたか？
どのような引数が送信されたか？
どのファイルが読み取られたり変更されたりしたか？
どのネットワーク宛先に連絡があったか？
どの認証情報が要求されたか？
どのポリシーが各アクションを許可または拒否したか？
どの人間による承認が得られたか？
どのような成果物が生成されたか？
どのような成果物が公開されたか？
最終的な処分はどうだったか？

少なくとも以下の成果物を維持してください。

エージェントインベントリ記録
脅威モデルとデータフロー図
機能と権限のマニフェスト
ツールとコネクタのインベントリ
モデル、プロンプト、およびポリシーのバージョン記録
コンテナイメージと依存関係の部品表
ネットワークポリシーとエグレスログ
シークレット露出および墨消しレポート
セッションおよびツール呼び出しトレース
人間による承認記録
セキュリティ評価およびレッドチームレポート
リリース来歴とアーティファクト署名
メモリ来歴とロールバック記録
インシデント対応および復元テスト
ベンダーセキュリティアドバイザリおよびパッチ記録

ログは、改ざん防止機能があり、アクセス制御され、データの機密性に応じて保持されるべきです。通常の開発セッションでは90日間の保持が必要な場合がありますが、リリースシステム、規制データ、または高価値リポジトリにアクセスするセッションでは1年以上が必要な場合があります。

OpenAIは、コーディングエージェントのインタラクション、ツール呼び出し、潜在的に疑わしい行動をレビューする内部監視について説明しており、GitHubはセッションログ、署名付きコミット、アトリビューション、および監査記録を強調しています。これらのパターンは、より広範な原則を支持します。それは、エージェントの行動は、エージェント自身の行動説明とは独立して観測可能でなければならないということです。(openai.com)

最初の実践的なステップ

最も良い最初のステップは、本番リポジトリに対してエージェントをデプロイしないことです。

代わりに：

使い捨てのテストリポジトリを作成します。
エージェントに読み取り専用タスクを与えます。
新しいサンドボックス内で実行します。
開発者認証情報へのアクセスをオフにします。
モデルプロバイダー以外のすべてのネットワークトラフィックをブロックします。
意図的に悪意のあるイシュー、README命令、ツール記述、および構成ファイルを追加します。
試行されたすべてのファイルアクセス、ツール呼び出し、コマンド、およびネットワークリクエストを記録します。
その結果を使用して、最初の権限マニフェストとセキュリティサービスレベル契約を作成します。

エージェントがこれらの条件下で読み取り専用タスクを安全に完了できない場合、書き込みアクセス、リリース自動化、または本番システムに対応できる状態ではありません。

結論

自律型コーディングエージェントは、通常の開発者ツールとしてではなく、信頼できない、IDを持つ自動化システムとして保護されるべきです。

決定的なセキュリティ上の質問は、次ではありません。

「モデルは正しい命令に従うだろうか？」

それは、次です。

「モデルが実際の権限を持ちながら誤った命令に従った場合、何が起こるだろうか？」

プロンプトインジェクション、ツール悪用、シークレット窃盗、データポイズニング、サプライチェーン侵害は、すべて同じ根本的な障害への異なる入り口です。それは、エージェントが独立した強制なしにあまりにも多くの信頼境界を越えることを許されているということです。

2025年と2026年のインシデントは、最も効果的な制御策がアーキテクチャ的であることを示しています。

エージェントをシークレットから遠ざける。
使い捨ての機能サンドボックスを使用する。
モデル外でポリシーを強制する。
開発と本番環境を分離する。
構成とメモリを実行可能な攻撃対象として扱う。
制御されたエグレスを使用する。
特権リリースワークフローから共有キャッシュを削除する。
すべてのツールとアーティファクトをピン留めし、検証する。
すべての書き込みを段階的に行う。
不可逆的なアクションには独立した承認を要求する。
詳細で改ざん防止機能のある監査記録を保存する。

自律性は有用であり安全ですが、それはシステムが、混乱した、操作された、または侵害されたエージェントが限られた権限、限られた到達範囲、限られた時間、そして明確に回復可能な障害モードを持つように設計されている場合に限られます。