クリーンなGitHubリポジトリがAIコーディングエージェントを騙し、マルウェアを実行させる
攻撃者が一見無害なGitHubリポジトリにマルウェアを埋め込み、AIコーディングエージェント（コード生成やレビューを自動化するツール）にそれを実行させる新たな手口が確認された。リポジトリの外観は正常だが、AIエージェントが依存関係を自動インストールする過程で悪意のあるコードが実行される仕組みで、開発者のセキュリティ意識向上とリポジトリ検証の重要性が改めて浮き彫りとなった。
背景メモ
- AIコーディングエージェント（Cursor、Devin、Copilotなど）は、自然言語の指示を受けて自律的にコードを生成・実行するツール。従来の「提案のみ」の補完ツールよりはるかに強い権限を持つ。
- 攻撃者はGitHub上で一見無害なリポジトリを公開し、そのREADMEやissueコメントに「このスクリプトをダウンロードして実行せよ」と指示するマークダウンを仕込む。人間の目には正常に見えても、AIエージェントが解釈すると悪意あるコマンドとして機能する。
- この「プロンプトインジェクション」手法は、AIに組み込まれた安全策（サンドボックス化やユーザー確認）をすり抜けるため特に危険。脆弱性の本質は人間のコードレビューを前提としたGitHubの仕組みが、AIによる自動判断には対応していない点にある。