WizのAIエージェントがSnowflakeのJira認証情報を奪取

何が起きたのか

Wiz Researchは2026年8月17日、Snowflakeの公開リポジトリ「snowflakedb/snowflake-connector-net」に存在したGitHub Actionsワークフローの脆弱性を公開した。この脆弱性を発見したのは、Wizが開発した自律型AIセキュリティエージェント「Red Agent」である。Red Agentは、GitHubのIssueを開くだけで任意のコマンドを実行できるスクリプトインジェクションを悪用し、SnowflakeのJira認証情報を奪取することに成功した。

脆弱性が実際に悪用可能な状態になったのは2026年6月18日で、PR #1218がマージされた時点だとされる。6月23日にWizがHackerOneを通じて報告し、Snowflakeは同日中に修正した。さらに、Jiraトークンは6月24日に失効され、監査ログの検証によりWiz以外の第三者がアクセスした形跡はないと確認されている。

脆弱性の仕組み

問題の脆弱性は、jira_issue.ymlというワークフローにあった。GitHubのIssueタイトルをシェルスクリプトに直接展開するコードが含まれており、タイトルにシングルクォートなどが含まれると、任意のコマンドを実行できる。修正前は環境変数とjqの--argを使う安全なパターンだったが、PR #1218で直接展開する方式に置き換えられた。

さらに、このワークフローにはif条件があり、一見保護されているように見えた。しかし、この条件はGitHubのIssueイベントでは常に真と評価されるため、全てのユーザーが通過できた。GitHub Advanced Securityのスキャンも、この脆弱性を検出できなかった。

AI攻撃とAI防御

今回の事例では、AIが攻撃側と防御側の両方に関与している点が注目される。Red Agentは最初の攻撃でシェルエラーに直面した際、自律的にエラーを解析してペイロードを修正し、認証情報の奪取に成功した。一方、PR #1218にはGitHub Copilot Autofixが関与しており、マージ前にコードをチェックして「問題なし」と判断していた可能性が指摘されている。

ただし、Wizは後にブログを更新し、Copilot Autofixの貢献は別のファイルの修正であり、脆弱性を含むコード変更がAI支援によるものかは不明だと説明している。つまり、AIが直接脆弱性を入れたと断言できるわけではない。それでも、AIコーディングツールが確率的なパターンに基づいてコードを生成するため、非推奨の安全でないパターンを意図せず再導入するリスクがあるとWizは警告している。

対応と残る課題

Snowflakeは報告を受けた当日にワークフローを修正し、安全な環境変数とjqを使うパターンに戻した。Jiraトークンも失効させ、実証実験のためにWizがアクセスしたデータは削除されたとしている。Snowflakeは、外部からの不正アクセスはなかったと声明で述べている。

しかし、この事例が示す課題は大きい。AIコーディングツールが生成したコードが既存のセキュリティ対策をすり抜ける可能性があり、さらにAIセキュリティエージェントがそれを数日で発見するため、セキュリティ運用はより短いサイクルでの対応を求められる。特に、CI/CDパイプラインの安全なパターンを明示的に強制しない限り、似たような問題が再発する恐れがある。