「AIエージェントに社内のコードや顧客のコードを触らせて大丈夫なのか」——導入検討の場でほぼ必ず出る質問だ。この不安に、なんとなくの安心感で答えても説得力はない。だからこそ、実際に見つかった脆弱性とその対応の中身を知っておくことには意味がある。今回はAnthropicのGitHub Action向けツール「claude-code-action」で見つかった脆弱性の事例を紹介したい。海外の一次情報だが、AIエージェントの安全な運用を考えるうえで示唆が多い内容だった。

Issueを1件立てるだけでリポジトリを乗っ取れた

The Hacker Newsの報道によると、GMO Flatt Securityのセキュリティ研究者RyotaK氏が、claude-code-actionを組み込んだGitHub Actionsのワークフローに脆弱性を発見した。

問題の中心は、ワークフローが「名前が[bot]で終わるアクター」を無条件に信頼していたことだった。GitHub Appを装ったアクターは社内で許可した管理者だけが使う想定だったが、実際には誰でもGitHub Appを登録し、自分のリポジトリにインストールして、そのトークンで任意のpublicリポジトリにIssueやPRを立てられる。この信頼チェックの穴と、間接的なプロンプトインジェクション（Issue本文にエージェントへの指示を仕込む手口）を組み合わせることで、外部の未認証の攻撃者が、Issueを1件開くだけでOIDCトークンの窃取・シークレットの漏洩・悪意あるコードのpushにまで到達できてしまう状態だった。

GitHubの公式アドバイザリでも、近い時期に関連する脆弱性（GHSA-8q5r-mmjf-575q、CVE-2026-47751）が公開されている。こちらはPR内に悪意ある.mcp.jsonを仕込むことでRCEに至る経路で、影響を受けるのはv1.0.74より前のバージョンだ。根っこの構造は共通していて、「外部から渡ってくる未検証の入力（Issue本文・PRの設定ファイル）が、そのままエージェントの実行系に届いてしまう」という点にある。

4日で修正、そのうえで春先まで継続的に堅牢化

ここで見るべきは「脆弱性があった」という事実そのものより、見つかってからの対応速度と中身だ。報道によれば、RyotaK氏は2026年1月にAnthropicへ報告し、中核となるバイパスは4日で修正、そのうえで春先にかけて追加の堅牢化が続けられたという。Anthropicはこの脆弱性をCVSS v4.0で7.8と評価し、バグバウンティも支払っている。

修正の中身も具体的だ。人間のアクターかどうかを検証する処理の追加、外部から読めてしまっていたワークフローの実行ログ（run summary）を既定で無効化、エージェントが起動する子プロセスからの環境変数の除去、外部にデータを持ち出せてしまうURLパターンをブロックするghコマンドのラッパー実装——と、1つの穴をふさぐだけでなく、同じ経路で悪用されうる周辺の弱点まで洗い出して手を打っている。

ソフトウェアに脆弱性が見つかること自体は、AIエージェントに限った話ではない。むしろここで確認できたのは、「外部の研究者が発見し、報告し、ベンダーが期限内に修正し、公表する」という一連のプロセスが機能していたという事実の方だ。

中小企業が実務で押さえるべき3点

この事例から、自社でAIエージェントをCI/CDやワークフローに組み込む際に確認すべきことが3つ見えてくる。

  1. バージョンを固定し、追随して更新する：@mainのような可変参照ではなく、修正が入ったバージョンへの追随を仕組み化する。脆弱性は直っても、古いバージョンを使い続けていれば意味がない
  2. 外部から届く入力を無条件に信用しない：Issue・PRのように社外の第三者が書き込める場所の内容を、エージェントがそのまま処理する設計になっていないか確認する。処理する場合は、権限を最小限に絞ったうえで人間のレビューを挟む
  3. 付与している権限を定期的に見直す：ワークフローに与えているトークンの権限（シークレットへのアクセス・push権限など）が、本当に必要な範囲に収まっているか。「動くから」で権限を広げたままにしない

いずれも特別なことではなく、CI/CDの権限管理として以前から言われてきた基本と同じだ。AIエージェントだからといって特別扱いする必要はなく、既存のセキュリティ運用の型にどう組み込むかという話になる。

「危ないから使わない」でも「気にせず使う」でもなく

セキュリティを理由に導入を止める企業もあれば、逆にほとんど設定を確認せずに使い始めてしまう企業もある。どちらも、権限設計や運用ルールという「構造」を作らずに判断している点は同じだ。ハーネスの考え方は、こうした運用の型をあらかじめ設計しておくことに他ならない。誰にどこまでの権限を渡すか、外部からの入力をどう扱うか、更新をどう追随するか——これを最初に決めておけば、脆弱性が見つかった後の対応もぶれない。

自社のコードや顧客の情報を扱う前提でAIエージェントを組み込む場合、権限設計や運用ルールの整理はパイロット・構築のフェーズで詰めるべきテーマの一つだ。何から手をつければいいか整理したい場合は、30分の無料診断で相談できる。