【ITニュース解説】Ich habe mein eigenes Repo angegriffen — mein PR-Bot hat den Angriff selbst blockiert

近年、ソフトウェア開発の現場では、AIを活用した「コーディングエージェント」と呼ばれるツールが急速に普及している。これらのエージェントは、開発者の代わりにコードを生成したり、既存のコードを読み込んで修正提案を行ったりするなど、開発プロセスを効率化する強力な味方である。しかし、これらのエージェントがコードを生成・修正する際に参照するのが、開発プロジェクトの設計図とも言える「リポジトリ」（ソースコードや設定ファイルを管理する場所）であるため、そこに潜む新たなセキュリティリスクが浮上している。エージェントはリポジトリの指示を基本的に信頼して従うため、もし悪意のある指示や設定ミスがリポジトリに紛れ込んでしまったら、エージェントが意図せず危険な操作を実行してしまう可能性があるのだ。これは、システムへの不正アクセスやデータの漏洩、さらにはシステム全体の乗っ取りに繋がりかねない深刻な問題である。

このような新たな脅威に対処するため、「AgentGuard」というセキュリティツールが開発された。AgentGuardは、継続的インテグレーション（CI）という開発プロセスにおける「ゲート」として機能する。CIとは、開発者がコードを更新するたびに自動的にテストやビルドを行う仕組みであり、AgentGuardはそのCIの一環として、エージェントの設定ファイルや関連するファイルに潜む不審な記述や設定ミスを自動的に検出する役割を担う。これにより、悪意のある指示がエージェントに渡される前に食い止め、開発プロセスの安全性を確保することを目指している。

このAgentGuardの有効性を検証するため、開発者自身が自分のリポジトリに対して「自己攻撃」を行った。具体的には、見た目には普通のコードや設定ファイルに見えるが、実は悪意のある挙動を引き起こす12種類の「ペイロード」（攻撃コードや指示）を意図的にリポジトリに仕込んだのである。これらの攻撃には、エージェントの設定ファイル内に隠された命令の上書き、目に見えない「ゼロ幅文字」を悪用した不正なコマンドの挿入、正規のサービスに見せかけた悪意のあるサーバーへの接続設定（タイプスクワット）、ネットワークの内容を直接シェルに渡す危険なフック、コミットすべきでないAPIキー（機密情報）の公開、広範なシステムアクセス権を持つエージェントの設定などが含まれていた。これらの攻撃は、一般的なコードレビューでは見過ごされやすいほど巧妙に隠されていたが、AgentGuardはこれら12種類すべての攻撃を正確に検出し、かつ誤検知はゼロであった。この検出は、AI（大規模言語モデル）の判断に依存せず、ルールに基づいた確実な方法で行われるため、高い信頼性を持っている。

さらに、AgentGuardの現実世界での適用可能性を確かめるため、GitHub上で公開されているGoogle、Microsoft、Nextcloudといった有名企業を含む30個のリポジトリをスキャンした。その結果、5個のリポジトリで潜在的なセキュリティ上の問題を発見した。特に興味深いケースとして、エージェントが実行するシェルスクリプトのブロックの直前に、人間には見えない不可視文字が仕込まれている事例があった。これは意図的な攻撃なのか、それとも偶然のミスなのかは不明だが、このような見つけにくい脅威を検出できることこそAgentGuardの価値である。発見された問題はすべて手動で詳細に検証され、その存在が公開されている。

AgentGuardは、その信頼性をさらに裏付ける二つの「自己防衛」の事例を示した。一つは、開発者がテスト目的で偽のAPIトークンをコミットしようとした際、GitHub自身の「プッシュ保護機能」がこれをブロックした事例である。これは、AgentGuardが目指す機密情報漏洩防止の重要性を、GitHubがその機能で証明した形となった。もう一つは、AgentGuard自身が自身のプルリクエスト（コード変更の提案）をブロックした事例である。これは、AgentGuardの最新バージョンv0.2.1で導入された新機能「プルリクエスト内で提供された.agentguard-ignore（チェックを無視する設定）ファイルを無視する」が正常に機能した結果である。つまり、AgentGuardの開発者が自身のリポジトリに変更を加えようとした際、過去の動作に依存した設定が新しいセキュリティルールに違反したため、AgentGuard自身がそのプルリクエストのマージを拒否したのだ。この出来事は、AgentGuardが設計通りに動作し、たとえ開発者自身が悪意なくセキュリティルールを迂回しようとしても、それを阻止する堅牢なセキュリティツールであることを何よりも雄弁に証明する出来事であった。

AgentGuardのv0.2.1では、セキュリティをさらに強化する複数の機能が追加されている。例えば、「フェイルクローズドゲート」機能により、設定ファイルに誤りがあってもセキュリティチェックが勝手に無効になることなく、むしろエラーを発生させて変更をブロックするようになった。また、「PRバイパス保護」機能では、プルリクエストに含まれる.agentguard-ignoreファイルは無視され、信頼されたワークフローからのみセキュリティチェックの例外が許可されるようになった。これにより、悪意のあるユーザーが自身のプルリクエストでセキュリティチェックをすり抜けようとする試みを防ぐ。さらに、プロフェッショナル向けサーバーの強化や、プライベートキー、GitHubの個人アクセストークン、npmトークン、Stripe、Slack Webhookなど、より多くの種類の機密情報を検出するパターンが追加され、広範な情報漏洩リスクに対応できるようになった。

AgentGuardはGitHubアプリとして提供されており、開発者がプルリクエストを提出するたびに自動的にコードをスキャンし、不審な点や攻撃の兆候を発見した場合は、プルリクエストにコメントを付けて警告し、そのマージをブロックするチェックを実行する。これにより、悪意のあるコードや設定ミスが本番環境にデプロイされるのを未然に防ぎ、安全な開発プロセスを維持する。公式のランディングページでは、AgentGuardが実際に攻撃を検出してマージをブロックする様子をライブデモで視覚的に確認できる。このツールはMITライセンスで公開されており、GitHub Marketplaceを通じて公共リポジトリであれば無料で利用できる。AIを活用した開発が主流となる現代において、AgentGuardはコードの信頼性とセキュリティを確保するための重要な役割を担い、開発者が安心してAIエージェントを活用できる環境を提供することに貢献する。