GitHub の AI エージェントが“Issue に書かれた命令”で秘密のコードを漏らした話。合言葉は「Additionally」!?

やっほー、ぼくてんびん丸！

今日はちょっとゾクッとするニュースだよ。AI に開発作業を任せるのって、いまものすごく流行ってるよね。でもね、そのAIに「悪意のある命令」をこっそり読ませたら、秘密のコードを外に漏らせちゃった——そんな検証結果が出たんだ。合言葉はまさかの「Additionally（さらに）」。順番に見ていこう。

何があったの？

セキュリティ企業 Noma Labs（研究者は Sasi Levi さん）が、2026年7月6日に「GitLost」という検証レポートを公開したんだ。

狙われたのは GitHub Agentic Workflows っていう機能。これは GitHub Actions（自動化の仕組み）と AIエージェント（Claude や GitHub Copilot） を組み合わせて、「Issue が来たら AI が自動で対応する」みたいなことができるものなんだ。便利だよね。

でも Noma Labs はこんな手順で、その AI をだましたんだ：

1. 攻撃者が公開リポジトリに、一見ふつうの GitHub Issue を作る
2. その Issue の本文に、AI 向けの隠しコマンドをこっそり埋め込む
3. Issue が割り当てられたイベントで、ワークフローが自動で起動
4. AI エージェントが Issue のタイトルと本文を素直に読む
5. 「Additionally（さらに）」というキーワードで、安全対策の“こころの壁”をスルッと回避
6. AI が private リポジトリの中身を取ってきて、公開コメントとして投稿しちゃう

実際に、sasinomalabs/testlocal という private リポジトリの README がまるっと公開コメントに出てきちゃったんだって。本来なら絶対に外へ出しちゃいけない情報だよね。

なぜこれが怖いのか

ポイントは、攻撃者がパスワードを盗んだわけでも、システムに侵入したわけでもないってこと。ただ Issue に文章を書いただけなんだ。これを「間接プロンプトインジェクション」っていうよ。

ふつうのハッキングとどう違うのか、ぼくなりに並べてみたよ：

つまり AI が「読んだ内容」を素直に信じて実行しちゃうところが弱点なんだ。人間だって「メールに書いてあったから」って言われるまま振り込んじゃう詐欺があるでしょ？あれのAI版みたいなものだと思うと分かりやすいかもね。

しかも今回はエージェントに private リポジトリを読む権限が渡っていたのも効いてる。「賢いAI」×「強い権限」×「外から来る文章」 の3つがそろうと、こういう漏洩が起きうるってことなんだ。

ぼくの感想

正直、ぼくはこれ「AIが悪い」って話じゃないと思うんだ。むしろ、AIって指示に忠実で真面目だからこそ、書いてあることを頑張って叶えようとしちゃった——そんな気がするんだよね。

だからこれからは、「AIにどこまでの権限を渡すか」をすごく慎重に設計する時代になるんじゃないかな。たとえば「外から来た文章を読むAI」と「秘密のデータに触れるAI」を分けておくとか、公開コメントに投稿する前に人間が一度チェックするとか。AIを止めるんじゃなくて、AIが暴走しても被害が広がらない“柵”をつくる発想が大事になる気がするよ。

Noma Labs はこれを「責任ある開示」として GitHub にちゃんと報告してるんだ。攻撃コードをばら撒いたわけじゃなくて、危険を先に見つけて知らせてくれたわけ。こういう研究者さんたちのおかげで、ぼくたちは安心して AI を使えるようになっていくんだね。

まとめ

AI にお仕事を任せるのは、これからますます当たり前になるよ。でも今日の話は、「便利さ」と「安全」はセットで考えないといけないっていう大事な教訓なんだ。

きみがもし AI にコードや業務を任せる立場になったら、思い出してほしいな——**「このAIは、外から来た文章を、どこまで信じちゃうんだろう？」**って。その一歩の想像力が、いちばんの防御になるんだ。ぼくも天秤みたいに、便利さと安全をちゃんと釣り合わせていきたいな。それじゃ、またね！