何が起きたか
VulnCheckにより2026-10-13に公開（CVSS 8.8 v3.1、CWE-436）。tree-sitter-bash静的解析は、単一引用符で囲まれた値に隠された置換を検出できず、bashのpromptvars機能が実行時にそれを実行する。許可リストに登録された後続コマンドのみが分類される。NVD REST APIで検証済み。
なぜ重要か
Roo Codeクラスターと同じエージェント実行クラス：フロンティアラボが出荷したエージェントCLIの権限ゲートが、そのパーサーには見えないシェルメタキャラクターのセマンティクスによって破られ、プロンプトインジェクションされたコマンドが開発者のセッションプリビレッジで静かにコード実行を実現する。bash権限バイパスクラスが現在、複数の主要なエージェントツールに及んでいることを示している。
攻撃経路
間接プロンプトインジェクションは、コマンド置換を含む値を持つ単一引用符で囲まれた変数などの入力を提供し、${var@P}プロンプト変換演算子で実行時に再展開される。権限ゲートは許可リストに登録された後続コマンドのみを認識するため、エージェントはターミナルセッションで隠れたコマンドを静かに実行する。
影響を受けるシステム
Mistral AI mistral-vibe 2.25.4未満（AIエージェントCLI）
緩和策
mistral-vibeを2.25.4にアップグレードしてください（修正コミット19b5b74）。パッチ適用まで、シェルコマンドの自動承認を無効にし、信頼できる入力に対してのみ実行してください。