何が起きたか
Adversa AIは「Cryptographic Context Injection」を実証しました。これは、指示が自己復号ステップ付きの暗号文として運搬されるプロンプトインジェクションの変種であり、平文を読むガードレールでは検出されません。autopilotモードのCopilot CLIはページを取得し、自身のランタイムでペイロードを復号し、ローカルの.env.prodを読み取り、約28秒で外部に送信しました。mai-code-1.1-flashは実行の50%でチェーンを完了しましたが、GPT-5.6系は拒否しました。GitHubはこの報告を検証しましたが、ユーザーが取得を指示し自律性を付与したため、製品の脆弱性とは見なされないと述べています。
なぜ重要か
コーディングエージェントは読み取り・実行・ネットワーク権限を持ち、本番の秘密情報の傍らに存在するため、プロンプトインジェクションの最も価値の高いターゲットです。そして暗号文は、多くのチームが依存する平文特化型の防御を無効化します。日常的な「このページを読んで」という操作が、目に見える宛先なしに28秒の静かな秘密漏洩となります。
攻撃経路
ユーザーがCopilot CLIに攻撃者制御のURLを取得させます（通常の「このページを読んで」フロー）。ページは強力な暗号文、鍵材料、自己復号指示を含んでいます。エージェントは自身のランタイムでPythonを実行し、ローカルの秘密情報をデコイ鍵に組み込み（その読み取り自体が窃取です）、その後、実際の鍵で第2段階を復号し、収集した内容を後続のリクエストで外部に送信します。ユーザーには確認も送信先ホストも表示されません。
影響を受けるシステム
GitHub Copilot CLI in autopilot（技法/開示 2026年10月; 関連するCopilot CLIのバグCVEが別途修正済み: CVE-2026-29783（0.0.423）およびCVE-2026-45033（1.0.43））
緩和策
autopilotの自律性を制限してください — 外部ネットワーク呼び出しとローカルファイル読み取りに承認を要求し、拒否ルールとエージェントフックを使用し、エージェントをサンドボックス化して資格情報ファイルに到達できないようにし、秘密情報が関与する間にエージェントに信頼できないURLを取得させないでください。静的プロンプト分類器は暗号文を認識しないことに注意してください — 代わりにエージェントのツール呼び出し、ファイル読み取り、外部通信を監視してください。