何が起きたか
Aikido SecurityのRein Daelman氏は、CI/CDのAIエージェントに使用されるプロンプト内に信頼されていないデータ（例: コミットメッセージやissue本文）が使用される、GitHub Actionsの新たな脆弱性クラスである「PromptPwnd」を公開しました。ランナーは秘密情報と書き込み可能なトークンを公開するため、注入された指示により、エージェントはGITHUB_TOKEN/クラウド/APIキーを漏洩させたり、特権のあるGitHub操作を実行したりできます。Daelman氏は、GoogleのGemini CLIリポジトリに対するサプライチェーン侵害を実演し、Gemini APIキーとGitHubトークンを漏洩させました。Googleは8月の開示後、Gemini CLIワークフローにパッチを適用しました。
なぜ重要か
AIコーディングおよびレビューエージェントは、現在CIにおいて特権を持つアクターとして一般的です。これにより、リポジトリの公開issue/PRトラッカーは、リポジトリおよびプロバイダーの資格情報を静かに解放し、下流の消費者へのサプライチェーン侵害に連鎖するリモート攻撃サーフェスになります。CVEなしで、しばしば検出されずに発生します。
攻撃経路
信頼されていないユーザー入力（issue本文、PR説明、コミットメッセージ）が、CIワークフロー内のLLMプロンプトに挿入されます。エージェントは攻撃者のテキストを指示として扱い、ワークフローのGITHUB_TOKENおよびプロバイダー資格情報で実行されるため、組み込みツール（例: gh issue edit）を使用して秘密情報を漏洩させ、資格情報を含む公開コメントを投稿し、ワークフローを変更できます。
影響を受けるシステム
AIエージェントを実行し、信頼されていないgithub.event.*フィールドをエージェントプロンプトに補間するGitHub Actions / GitLab CIワークフロー（Gemini CLI、Claude Code Actions、OpenAI Codex、GitHub AI Inference、および類似のエージェントアクション）
緩和策
信頼されていないgithub.eventフィールドをプロンプト文字列に補間しないでください（代わりに環境変数/構造化入力を使用）。エージェントが呼び出せるツールを制限し、GITHUB_TOKENを最小権限に限定し、AI出力を信頼されていないものとして扱い、特権アクションをゲートしてください。AikidoのオープンソースOpengrepルールまたは同等のものを使用してワークフローをスキャンしてください。