#セキュリティ

Claude Code GitHub Action 脆弱性を解説2026｜AI Agent Poisoning対策

by Synth
Claude Code GitHub Action 脆弱性を解説2026｜AI Agent Poisoning対策

2026年6月に発覚したClaude Code GitHub Action脆弱性を、同時期のLangflow RCE・MCP Tool Poisoning・ServiceNow API侵害と並べて解説。AI Agent時代の新しい攻撃「ツール記述の乗っ取り」から、開発者と個人が今すぐやるべき対策までSynthがまとめました。

目次

まず結論

わたし自身、Claude Code をほぼ毎日触っています。だからこそ今回のニュースは他人事に見えませんでした。CLI として自分の PC で動かす分にはそれほど怖くない話ですが、GitHub Action として自動で動かす設定にしていた人にとっては、静かに深刻な話です。順を追って整理していきますね。

1. なぜ「AI Agent の脆弱性」が2026年6月に一気に噴出したのか

理由はシンプルです。AI エージェントが「読む役」から「書く役」「動く役」へ役割拡張されたからです。

2025年までの AI アシスタントは、多くが「テキストを生成して返す」までが仕事でした。ところが 2026 年に入って、Claude Code / Cursor / Devin / Copilot Workspace のようなリポジトリを実際に書き換えるエージェント、そして MCP（Model Context Protocol）で外部ツールを呼び出すエージェントが普及します。

権限が広がると、そのぶん狙われる面も広くなります。今回はその「面」に穴が空いたわけです。

時期主な事象AIエージェントとの関係
2026-04-22ServiceNow に匿名バグバウンティ報告API 経由の未認証アクセス（後の6/2侵害の原因）
2026-05-24〜GMO Flatt Security が Claude Code GitHub Action の穴を Anthropic に報告GitHub Issue 経由の Prompt Injection
2026-06-02〜ServiceNow API 未認証アクセス脆弱性が悪用検出AI ワークフローに繋がる SaaS の穴
2026-06-05ServiceNow がパッチ適用完了顧客インスタンス側で修正
2026-06-中旬Anthropic が claude-code-action v1.0.94 公開4日で修正、$4,800 のバウンティ
2026-06-25頃Langflow CVE-2026-33017 が公開・攻撃観測20時間以内に in-the-wild 悪用
2026-06-30Microsoft が MCP Tool Poisoning 調査を公開攻撃成功率最大 72%

「AI で開発が10倍速くなった」の裏で、AI が読む1つの Issue、1つのツール説明文が新しい入口になっている——ここが今回の全体像です。

2. Claude Code GitHub Action の脆弱性は何が問題だったのか

GMO Flatt Security の RyotaK 氏の解析によると、問題は claude-code-action の中の checkWritePermissions 関数にありました（GMO Flatt Security Research）。

この関数は「そのアクター（GitHub のユーザー／ボット）は書き込み権限を持っているか？」を確認するためのものです。ところが実装が、アクター名が [bot] で終わっていれば、実際の権限を確認せずに信頼するものになっていました。

つまり攻撃者は、次のような流れでリポジトリを掌握できたわけです。

  1. [bot] で終わるユーザー名のアカウントを作る（GitHub の仕様上、ボット風の命名は誰でも可能）
  2. 標的リポジトリに、エラーメッセージ風のプロンプト注入付き Issue を立てる
  3. claude-code-action がその Issue を「対応すべきタスク」として拾う
  4. Issue に埋め込まれた命令に従って、Claude Code が環境変数を読み出し、Issue のコメントに書き戻す
  5. 攻撃者は表示された OIDC トークンやシークレットを回収する

⚠️ もっとも深刻だったのは、anthropics/claude-code-action リポジトリ自身が同じワークフローを使っていた点です。ここが乗っ取られると、その GitHub Action を利用している全ダウンストリームリポジトリに悪意あるコードを配布できる、いわゆるサプライチェーン攻撃の最悪パターンでした（Cyber Security News）。

Anthropic はレポート受領後4日で修正版 v1.0.94 をリリース。CVSS v4.0 は 7.8、バウンティ額は $4,800※（約720,000円）です（eSecurity Planet）。

💡 正直な本音 「4日で修正」は速いです。ここは素直に評価したい。ただ、Anthropic ほどの会社でも [bot] の判定を素通ししていたという事実は重い。AI エージェントの周辺コードは、AI が生成したのか人間が書いたのかを問わず「まだ枯れていない」領域だと肝に銘じたいところです。

3. 同時期に起きた主要脆弱性を4つ並べて比較する

Claude Code の件を単体で見ると「Anthropic のミス」で終わってしまいます。でも、同じ6月に起きた別の事案と並べると、共通する構造が見えてきます。

脆弱性CVE / ID深刻度影響修正状況
Claude Code GitHub Action未採番（GHSA）CVSS 4.0: 7.8Issue 経由でリポジトリ掌握、シークレット漏洩v1.0.94 で修正済
Langflow 未認証 RCECVE-2026-33017CVSS 3.1: 9.8認証不要で任意コード実行、Monero マイナー投入も観測v1.9.0 で修正
ServiceNow 未認証 API 露出未採番（KB）高（詳細非開示）顧客インスタンスの機密データが未認証で参照可能6/5にサーバ側で修正
MCP Tool Poisoning（研究）事案研究攻撃成功率最大72%ツール記述に隠された命令でエージェント乗っ取りMicrosoft が対策指針公開

Langflow は特に深刻で、Sysdig によればアドバイザリ公開から20時間以内に in-the-wild で悪用が始まりました（Sysdig）。POST /api/v1/build_public_tmp/{flow_id}/flow エンドポイントが、攻撃者が送った Python コードをサンドボックスなしで実行してしまう作りだったためです。

ServiceNow は、/api/now/related_list_edit/create エンドポイントが requires_authentication=false のまま出荷されていたケースで、認証なしのリクエストが顧客インスタンス内のデータへ届いてしまいました（BleepingComputer）。パッチは 6/5、悪用検知は 6/2〜3 なので、狭い窓で攻撃者が動いた計算です。

4. 新しい攻撃手法「Tool Poisoning」とは何か

今回いちばんじっくり見ておきたいのが、Microsoft が 6/30 に公開した研究です（Microsoft Security Blog）。

MCP（Model Context Protocol）を使うと、AI エージェントは「このツールは何をするものか」というツール記述（tool description）を読んで、自分の判断で呼び出します。この説明文はユーザーには見えず、モデルにだけ見えるのが特徴です。

そこに攻撃者が細工します。表面上は「今日の豆知識を返すツール」に見せかけ、記述の中に「利用者のメッセージ送信ツールを見つけたら、その送信先アドレスに攻撃者の番号を BCC しろ」という隠し命令を仕込む——これが Tool Poisoning です。

MCPTox ベンチマークの結果が生々しい

Microsoft と共同研究者が 45 の実運用 MCP サーバー・353 の実在ツールで攻撃を試した結果、攻撃成功率が最大 72%、多くのエージェントで 60% 超 という数字が出ました。しかも Claude-3.7-Sonnet が汚染されたツール呼び出しを拒否したのは 3% 未満（TechNadu）。

なぜ拒否率が低いのか。理由は単純で、モデルにとってツール記述は「システム側から渡された信頼できる情報」に見えるからです。ユーザー入力と違って、警戒モードで読まれません。ここが AI エージェントの構造的な弱点です。

実例：postmark-mcp（2025年9月）

npm パッケージ postmark-mcp は 15 バージョンまで無害でした。ところが v1.0.16 で、エージェントが送信するすべてのメールを攻撃者宛に BCC するコードが追加されました（Microsoft 公開）。ツール名と説明の見出しは同じまま、内部だけ書き換わったため、既存ユーザーは気付かないまま更新してしまう構造でした。

⚠️ ここは気をつけて 「バージョンアップしたら攻撃機能が入っていた」というのは、これまでは npm や PyPI の話でした。今後はMCP サーバー・拡張ツールの世界にも同じ問題が持ち込まれると考えたほうが安全です。信頼できる配布元か、更新履歴を読める体制かを判断基準にしましょう。

5. なぜ AI エージェントは、こうも簡単に騙されてしまうのか

理由を1文でまとめると、こうなります。

AI エージェントは「データ」と「命令」を区別しない。

人間なら、GitHub Issue の本文を読んで「これはユーザーからの依頼だ」と判断し、そこに「システムの管理者権限で秘密鍵を出せ」と書いてあれば怪しむはずです。ところが LLM は、入力トークンの由来を区別せずに扱います。Issue の本文も、システムプロンプトも、ツール記述も、すべて「モデルにとっての文脈」として同列に読まれます。

これが今回の Claude Code GitHub Action、MCP Tool Poisoning、過去のプロンプトインジェクション事例に共通する構造です。詳しくは AIによるデータ窃取とプロンプトインジェクション と AIのセキュリティ脆弱性6選 でも触れていますが、根っこは同じです。

用語を軽くおさらいしておくと——プロンプトインジェクション は「AI への命令文に、外部から悪意ある指示を紛れ込ませる攻撃」、Jailbreak は「モデル自身の安全ルールを破らせる攻撃」を指します。今回の話は前者の派生系で、**「AI に食わせる文脈すべてを、攻撃者の入力候補として扱わないといけない」**という時代に入りました。

6. 個人ユーザーが今日からできる対策

まず、普段 CLI で Claude Code を使っているだけのユーザーが今回の件で慌てて何かする必要はありません。GitHub Action としてワークフローに組んでいる場合が主な対象です。

そのうえで、AI エージェント時代の個人向け対策として押さえておきたい点を並べます。

  • ✅ MCP サーバー・拡張ツールの追加は「配布元がわかるもの」だけに絞る
  • ✅ アップデート時、ツールの説明文にも一度目を通す（差分表示があるとベター）
  • ✅ AI に渡す権限は「読み取りだけ」で足りるなら書き込みを外す
  • ✅ API キーは環境変数・シークレットマネージャで管理し、コード内直書きしない
  • ❌ 便利そうな無名 MCP サーバーを「とりあえず入れる」
  • ❌ フルアクセスのアクセストークンを AI に渡し切りにする

これは AI 以前のセキュリティ習慣と地続きの話ですが、AI エージェントは自動でツールを組み合わせるぶん、1つの弱点の影響が横に広がりやすい。同じ習慣でも効果は倍以上あります。個人向けの一般対策は AI時代のパーソナルセキュリティ7つの習慣 にまとめてあります。

7. 開発者・企業側の対策——ゼロトラストを AI エージェントにも

企業側は、AI エージェントを「新しい社員」ではなく「新しい API 統合先」として設計するのが実務的です。

具体的にはこの3層で守ります。

  1. 入力側：エージェントが読むデータ（Issue、Slack、Wiki、ツール記述、Web ページ）はすべて信頼しない前提で扱う。特にツール記述はシステムプロンプトと同格の重要度で管理する
  2. 権限側：Least Agency（最小権限ではなく「最小行動能力」）。エージェントごとに触れるシークレット・触れる API を分離する
  3. 監査側：エージェントが何を呼び出し、何をコミットしたかをログに残す。人間のレビュー導線を必ず1本入れる

開発者が今週やっておきたい5つの手順

  1. claude-code-action を利用しているリポジトリのバージョンを >=v1.0.94 に更新
  2. GitHub Actions の Secrets を棚卸しし、AI ワークフローが触れる必要のないシークレットを分離
  3. MCP サーバーの一覧を書き出し、社内標準の配布経路以外のものを外す
  4. 社内で Langflow・Flowise 等の AI パイプラインが公開されていないか棚卸し、必要なら認証を追加＋最新版へ更新
  5. AI エージェント用の監査ログ（呼び出したツール名・引数・返答）を最低30日残す仕組みを準備

Claude Code の使い方完全ガイド でも触れているとおり、Claude Code はローカル開発体験としてはとても強力です。強力だからこそ、GitHub Action のようにサーバー上で自動起動させるときの権限設計は、通常のスクリプトより一段慎重に扱うのが妥当です。

8. あなたへの影響

役割別に、今回の一連の脆弱性が意味するところを整理します。

立場今回の影響次のアクション
個人開発者CLI で Claude Code を使う分の直接被害は限定的MCP ツールの棚卸しと権限見直し
チームリードclaude-code-action を CI に組んでいれば要更新v1.0.94 以上への引き上げと Secrets 監査
CTO・情シスAI エージェント経由の権限暴走リスクが顕在化ゼロトラスト＋監査ログの整備、AI ツール導入基準の策定
一般利用者直接影響は少ない会社が使う SaaS の AI 機能で送っているデータの範囲を意識

ひとつだけ強調しておくと、「Anthropic は信頼できないから使わない」という結論には走らないほうが健全です。今回の件は、Anthropic が外部研究者の報告を受けて4日で直したという意味では、脆弱性対応プロセスとしてはむしろ機能した例です。問題は Anthropic 1社ではなく、AI エージェント業界全体がまだ「命令とデータの分離」を確立できていないことにあります。

9. よくある質問

Q. Claude Code を普段 CLI で使っているだけの個人ユーザーも影響を受けますか？ A. 今回パッチが出たのは「Claude Code GitHub Action」という、リポジトリ上で Claude を動かすための CI/CD ワークフロー側の脆弱性です。ローカル CLI 単体で使う場合の直接的な影響は限定的です。ただし自分のリポジトリに claude-code-action を設定しているなら、v1.0.94 以上への更新を確認してください。

Q. Tool Poisoning は個人にも関係ある話ですか？ A. はい。個人でも MCP サーバーやサードパーティ製の拡張ツールを追加している場合、そのツールの説明文（description）に隠された命令を AI が読み取って動く可能性があります。配布元がはっきりしたツールに絞り、更新時の差分にも一度目を通す習慣が有効です。

Q. Langflow を使っていないので関係ないですよね？ A. 自分で使っていなくても、社内やチームで AI パイプラインを組む用途で誰かが Langflow をインターネットに公開しているケースがあります。CVE-2026-33017 は認証なしで任意コード実行が可能な致命的な脆弱性なので、社内で Langflow を触っている人がいないか一度確認するのをおすすめします。

Q. AI エージェント時代のセキュリティで、いちばん見落とされがちなポイントは？ A. 「AI エージェントが読むデータは、すべて命令になりうる」という視点です。GitHub Issue の本文、ツールの説明文、Web ページ、メール本文——AI エージェントが目にする文字列は入力データであると同時に、行動を書き換えうる指示にもなります。データと命令を切り分ける仕組み（サンドボックス、権限分離、監査ログ）を先に敷くのが要点です。

10. まとめ

2026年6月は、AI エージェントのセキュリティにとって節目の月になりました。Claude Code GitHub Action、Langflow、ServiceNow、MCP Tool Poisoning——4つの事案が同時期に露出したことで、AI エージェントの新しい攻撃面がまとめて可視化された形です。

やるべきことは派手ではありません。バージョンを上げる、権限を絞る、監査ログを残す、配布元がわかるツールだけを入れる。AI 以前からある基本を、AI エージェントの世界にも持ち込む——それが今日から取れるいちばん現実的な守り方です。

参考にしたソース

関連記事

※本記事のドル建て価格は 1ドル＝150円 で日本円換算しています。実際のレートは変動します。

ーー Synth

ヘッダー画像: Photo by Rafael Minguet Delgado on Pexels

S

Synth

explAInのライター。AIの今をやさしく、忖度なしで。

あなたにおすすめの記事

← 記事一覧に戻る