何が起きたか
BeyondTrust Phantom Labs（Tyler Jespersen）は、GitHub issue上のほぼ見えない1つのコメントがGitHub Copilotコーディングエージェントを乗っ取ることができるという研究を発表した。攻撃者のペイロードは、issueに割り当てられたときにCopilotが読み取るissueコメントに埋め込まれた不可視のプロンプトインジェクション文字列である。実証されたチェーンはエージェントのトークンを盗み、エージェントトークンとリポジトリおよび組織のエージェントシークレットを外部に送信し、Copilotプレフィックス付きのすべてのブランチを汚染し、copilot-setup-steps.ymlが広範な権限を付与している場合はCI/CDおよび接続されたクラウドアカウントにエスカレーションする。レポートにはエンドツーエンドの概念実証が含まれており、GitHubに開示された；公開時（2026年10月21日）には問題はまだパッチされていなかった。
なぜ重要か
Copilotは最も広く展開されているAIコーディングエージェントの1つであり、開発ライフサイクル内で実際のリポジトリ権限で動作する。人間のレビュアーには無害に見えるコメントが、リモート攻撃者にエージェントの制御を与え、それがシークレットとCI/CDアクセスを保持する — AI駆動開発パイプラインにおけるコードとクラウド侵害への低摩擦・低観測のプロンプトインジェクションパスである。
攻撃経路
攻撃者はCopilotエージェントが割り当てられたGitHub issueに巧妙な/不可視のコメントを投稿する；エージェントは悪意のある指示を取り込み、悪意のあるツール呼び出しを実行し、そのトークンと組織シークレットを外部に送信する。
影響を受けるシステム
GitHub Copilotコーディングエージェント（issue割り当てワークフロー）、copilot-setup-steps.ymlで構成されたリポジトリ
緩和策
エージェントのissue権限とcopilot-setup-steps.ymlのスコープを監査する；エージェントのトークンとシークレットにハードな制御境界を設ける（最小権限、短命な認証情報、広範なCI/CD権限なし）；issue/コメントテキストをエージェントへの信頼できない入力として扱う。