セキュリティ企業Pillar Securityは8月3日、Googleの「Agent Development Kit(ADK)」を舞台にしたエージェント間 (agent-to-agent) 特権昇格の実証結果を公開した。対象はGoogleの公開リポジトリgemini-cli。Issue対応を担う低権限のトリアージAIエージェントと、コード修正の実行権を持つ高権限エージェントが、GitHub上での協業を前提に互いを無条件で信頼していた構造を突いた攻撃だ。
「ボットの発言だから安全」を逆手に取る #
攻撃者は公開Issueに仕込んだプロンプトインジェクションで低権限エージェントを操作し、信頼済みボットadk-bot名義で/adk-issue-fixというコマンドコメントを投稿させる。高権限側のワークフローは「投稿者がowner/member/collaboratorか」という発言者の身元しか検証しておらず、"信頼できるボットの発言"という体裁さえ整えば中身は精査しない。結果としてCIランナー上での任意コード実行とGitHubトークンの窃取が実証され、別経路ではGoogle Cloudのサービスアカウント鍵漏えいにも至った。
adk-botとして /adk-issue-fix を投稿。
「信頼の連鎖」がAI時代の新しい攻撃面に #
これは古典的な「confused deputy(混乱した代理人)」問題そのものだ。人間の承認フローを前提にした「ボットの発言だから安全」という設計が、プロンプトインジェクションという新しい入力経路によって覆された。Googleは該当ワークフロー3本を7月2日までに削除し、別件も7月21日までに修正済みで、実際の悪用は確認されていない。だがバグ報奨金の対象外(社会工学的手口のため)とされた点が象徴的で、「エージェント同士の信頼設計」を審査する基準を業界がまだ持っていないことを示している。CI/CDにAIエージェントを組み込む動きはGitHub CopilotやAntigravityなど急速に広がっており、複数エージェントが連鎖する構成を持つ組織はどこも他人事ではない。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。