何が起きたか
GitLabは、GitLab Duo AI機能の基盤となるセルフホスト型AI Gatewayコンポーネントの重大な脆弱性（CVSS 9.9、CWE-1336）を修正しました。Duo Agent Platformアクセスを持つ認証済みユーザーは、特別に細工されたフロー構成を介してプロンプトテンプレートサンドボックスから脱出し、AI Gateway上で任意のコマンド実行を達成できます。影響: AI Gateway 18.1.6から19.2.4未満、19.3から19.3.2未満、19.4から19.4.1未満。CVEは2026年10月2日に公開され、2026年11月3日/4日の脆弱性窓期間中に積極的に表面化しました。
なぜ重要か
プロンプトテンプレートサンドボックスは、信頼されていないプロンプト/テンプレートコンテンツとGitLabのLLM機能を実行するホストとの間のセキュリティ境界です。これを脱出するとAI Gateway上でRCEが発生するため、AIレイヤーに到達した攻撃者はホストとゲートウェイが保持する認証情報/秘密にピボットできます。これはエージェント型/GenAIインフラストラクチャで繰り返し現れるサンドボックス脱出からホストへの懸念と同じです。
攻撃経路
Duo Agent Platformアクセスを持つ認証済みユーザーが、特別に細工されたフロー構成を提出してプロンプトテンプレートサンドボックスから脱出し、セルフホスト型AI Gateway上で任意のコマンド実行を達成します。
影響を受けるシステム
GitLab AI Gateway（コード提案 / AIアシスト）19.4.0まで。
緩和策
GitLabアドバイザリ（ワークアイテム628842）に従い、GitLab AI Gatewayを19.2.4 / 19.3.2 / 19.4.1にアップグレードします。