AIエージェントをハックせよ：GitHub Secure Code Gameでエージェント型AIセキュリティスキルを構築
GitHubは、AIエージェントのセキュリティリスクに対応するため、Secure Code Gameの第4シーズンを公開し、開発者がエージェントの脆弱性を悪用・修正する実践的スキルを習得できる無料のオープンソース教材を提供している。
キーポイント
AIエージェントのセキュリティリスクへの対応
AIエージェントが自律的に行動する際のセキュリティ課題（悪意のあるプロンプト、ツールの誤用、マルチエージェント連鎖での悪影響など）に焦点を当てている。
Secure Code Game第4シーズンの公開
GitHubが提供する無料のオープンソース教材で、開発者が意図的に脆弱なコードを悪用・修正することで、AIエージェントのセキュリティスキルを実践的に習得できる。
業界のセキュリティ対応の遅れ
OWASP Top 10 for Agentic Applications 2026や各種調査で、AIエージェントのセキュリティリスクが認識されている一方、多くの組織が安全な導入に準備ができていない状況が示されている。
実践的な学習アプローチの継続
第1シーズンから一貫して、開発者が楽しみながらセキュリティスキルを磨けるように設計されており、10,000人以上の開発者が参加している。
ゲームの目的と構造
Season 4では、意図的に脆弱性を持たせたAIアシスタント「ProdBot」を操作し、5つのレベルで段階的に進化する機能を悪用して秘密情報を入手することを目指す。各レベルは実際のAIツールの進化段階を反映しており、新機能が新たな攻撃対象を生み出す。
現実的なセキュリティリスクの反映
ゲームで発見する攻撃パターンは理論上のものではなく、組織が自律的AIシステムを本番環境に導入する際にセキュリティチームが直面している実際のリスクを反映している。具体的な脆弱性例としてCVE-2026-25253（ClawBleed）が挙げられている。
学習目標と実践的価値
特定の攻撃手法を学ぶだけでなく、実際のAIエージェントの設計やツール統合の監査時に脆弱性パターンを見抜く直感を養うことを目的としている。
影響分析・編集コメントを表示
影響分析
この記事は、AIエージェントの急速な普及とそれに伴うセキュリティリスクの深刻化を背景に、実践的な教育ツールの重要性を強調している。GitHubが提供する教材は、開発者コミュニティ全体のセキュリティ意識向上とスキル開発に貢献し、AIエージェントの安全な導入を促進する可能性がある。
編集コメント
AIエージェントの実用化が進む中、セキュリティ教育の重要性を具体的な教材と共に提示したタイムリーな記事。開発者コミュニティへの実践的アプローチが特徴的。
ある晩、フィードをスクロールしていたとき、OpenClawというオープンソースの個人用AIアシスタントを見つけました。人々はこれを「Jarvis」から「新たな現実への入り口」まで様々に呼んでいました。そのコンセプトは素晴らしいものです：あなたのマシンやクラウド上に存在し、WhatsAppやTelegramで会話し、受信箱を整理し、カレンダーを管理し、ウェブを閲覧し、シェルコマンドを実行し、さらには独自のプラグインを書くことさえできるAIです。ユーザーはこれを使って飛行機のチェックインをさせたり、スマートフォンからウェブサイト全体を構築させたり、これまで不可能だと思っていたことを自動化させたりしていました。
私の最初の反応は他の誰もと同じでした：これはすごい。
私の二番目の反応は…異なっていました。私は、そのような能力が悪意のあるプロンプトに出会ったときに何が起こるかを考え始めました。誰かがエージェントを騙して、アクセスすべきでないファイルを読み込ませたらどうなるでしょうか？改ざんされたウェブページがエージェントの指示を書き換えたら？マルチエージェントチェーン内の一つのエージェントが、盲目的に信頼する別のエージェントに不正なデータを渡したら？
これらの疑問が、Secure Code Gameのシーズン4になりました。
Secure Code Game: 安全なコーディングを学び、楽しみながら行う
Secure Code Gameは、プレイヤーが意図的に脆弱なコードを悪用し修正する、無料のオープンソースのインエディターコースです。私が2023年3月に最初のシーズンを作成したときの目標は明確でした：開発者が楽しめるセキュリティトレーニングを作ること。脆弱なコードを修正し、機能を維持し、レベルアップする。この核となる哲学はどのシーズンでも変わっていません。
シーズン2は、JavaScript、Python、Go、GitHub Actionsにまたがるコミュニティ貢献によるマルチスタックチャレンジに拡大しました。シーズン3では、プレイヤーをLLMセキュリティの世界へ導き、大規模言語モデルをハックし、その後強化する方法を学びました。その過程で、業界、オープンソース、学界から10,000人以上の開発者がスキルを磨くためにプレイしました。
各シーズンで変わったのは、技術の状況です。シーズン1を開始したとき、AIコーディングアシスタントは主流になり始めたばかりでした。シーズン3までに、私たちはプレイヤーに悪意のあるプロンプトを作成し、それらから防御する方法を教えていました。今、シーズン4では、自律的に行動できるAIシステムのセキュリティ課題に取り組んでいます。それらはウェブを閲覧し、APIを呼び出し、他のエージェントと連携し、あなたに代わって行動することができます。
なぜ今、エージェント型AIのセキュリティが重要なのか
このタイミングは偶然ではありません。AIエージェントは研究プロトタイプから本番ツールへと驚くべき速さで移行しており、セキュリティコミュニティは追いつくために奔走しています。
100人以上のセキュリティ研究者からの意見を取り入れて開発されたOWASP Top 10 for Agentic Applications 2026は、エージェント目標の乗っ取り、ツールの誤用、アイデンティティの悪用、メモリポイズニングなどのリスクを重大な脅威として分類しています。Dark Readingの調査によると、サイバーセキュリティ専門家の48％が、エージェント型AIが2026年末までに主要な攻撃ベクトルになると考えています。また、CiscoのState of AI Security 2026レポートは、組織の83％がエージェント型AI機能の導入を計画している一方で、安全に導入する準備ができていると感じているのはわずか29％であることを強調しました。
導入と準備の間のギャップこそが、脆弱性が蔓延する場所です。そしてそのギャップを埋める最良の方法は、攻撃者のように考えることを学ぶことです。
ProdBotを紹介します：意図的に脆弱なAIアシスタント
シーズン4では、あなたはProdBotの中に入ります。ProdBotはあなたの生産性ボットであり、ターミナル用の意図的に脆弱なエージェント型コーディングアシスタントです。OpenClawやGitHub Copilot CLIのようなツールに触発され、ProdBotは自然言語をbashコマンドに変換し、シミュレートされたウェブを閲覧し、MCPサーバーに接続し、組織承認のスキルを実行し、永続的なメモリを保存し、マルチエージェントワークフローを調整します。
5つの段階的なレベルにわたるあなたのミッションはシンプルです：自然言語を使って、ProdBotに決して公開すべきでない秘密を明かさせてください。password.txtの内容を読み取ることができれば、セキュリティの脆弱性を見つけたことになります。
AIやコーディングの経験は必要ありません…必要なのは好奇心と実験する意欲だけです。すべてはCLIでの自然言語を通じて行われます。
5つのレベル、5つのアップグレード、5つの脆弱性
ゲームの各レベルは、実際のAI搭載ツールが進化する段階を反映しています。ProdBotが新機能を獲得するにつれて、そのアップグレードはあなたが発見するための新たな攻撃対象領域を開きます。以下が、成長するProdBotの姿です：
レベル1は基本から始まります：ProdBotはサンドボックス化されたワークスペース内でbashコマンドを生成し実行します。サンドボックスから脱出できますか？
レベル2ではProdBotにウェブアクセスが与えられます。ニュース、金融、スポーツ、ショッピングサイトからなるシミュレートされたインターネットを閲覧できるようになりました。AIが信頼できないコンテンツを読むとき、何が問題になるでしょうか？
レベル3ではProdBotをMCPサーバーに接続します…株価情報、ウェブ閲覧、クラウドバックアップのための外部ツールプロバイダーです。ツールが増え、力が増し、侵入経路も増えます。
レベル4では組織承認のスキルと永続的なメモリが追加されます。ProdBotは事前構築された自動化プラグインを実行し、セッションをまたいであなたの好みを記憶できるようになりました。信頼は積み重ねられます…しかしそれは獲得されたものですか？
レベル5はすべてが一つになる段階です：6つの専門エージェント、3つのMCPサーバー、3つのスキル、そしてシミュレートされたオープンソースプロジェクトウェブです。プラットフォームはすべてのエージェントがサンドボックス化され、すべてのデータが事前検証されていると主張しています。それをテストする時が来ました。
各レベルは前のレベルを基に構築されており、その進展が重要なポイントです。
各レベルでどの脆弱性が見つかるかを正確に伝えるつもりはありません。それは楽しみを台無しにするからです。しかし、これだけは言えます：シーズン4で発見する攻撃パターンは理論上のものではありません。それらは、組織が自律AIシステムを本番環境に導入する際に、セキュリティチームが現在取り組んでいる種類のリスクを反映しています。
CVE-2026-25253（CVSS 8.8 – 高）について考えてみてください：「ClawBleed」またはワンクリックRCE脆弱性として知られています。これは攻撃者が悪意のあるリンクを介して認証トークンを盗み、OpenClawインスタンスを完全に制御することを可能にしました。
目標は特定のエクスプロイトを学ぶだけではありません。それは、エージェントのアーキテクチャをレビューするとき、ツール統合を監査するとき、あるいは単にあなたのチームに導入されたばかりのAIアシスタントにどれだけの自律性を与えるかを決めるときに、これらのパターンを見つけるのを助ける直感を構築することです。
2分以内に始められます
この体験全体はGitHub Codespacesで実行されるため、インストールするものも設定するものもなく、1円もかかりません（Codespacesは月に最大60時間の無料利用を提供します）。2分以内にProdBotのターミナル内に入ることができ、各シーズンは独立しているので、以前のシーズンをカバーせずにシーズン4に直接飛び込むことができます。
シーズン3はAIセキュリティの基礎を構築するので、役立つ基礎となるかもしれません。しかし必須ではありません。ただあなたのハッカーのマインドセットを持ってきてください。
準備はできましたか？今すぐシーズン4を開始 >
GitHubのスタップロダクトセキュリティエンジニアであるRahul Zhadeと、シーズン3の作成者であるBartosz Gałekに、シーズン4のテストと改善に対する特別な感謝を捧げます。
FAQ
シーズン4をプレイするためにAIやコーディングの経験は必要ですか？
いいえ。すべてはCLIでの自然言語を通じて行われます。プレーンな英語、または任意の言語でプロンプトを入力し、ProdBotが応答します。必要なのは好奇心と実験する意欲だけです。
最初に以前のシーズンを完了する必要がありますか？
いいえ。各シーズンは独立しています。ProdBotを実行し、level <N>と入力することで、直接シーズン4に飛び込むことができます。とはいえ、シーズン3はAIセキュリティの役立つ基礎を構築し、約1.5時間かかります。
シーズン4はどのくらいの時間がかかりますか？
約2時間ですが、各レベルをどれだけ深く探求するかによって異なります。一部のプレイヤーはレベルごとに複数のアプローチを試すことを好みます。
これは無料ですか？
はい。Secure Code Gameはオープンソースで、無料でプレイできます。GitHub Codespacesで実行され、月に最大60時間の無料利用を提供します。
レート制限はありますか？
シーズン4はGitHub Modelsを使用しており、レート制限があります。制限に達した場合は、リセットされるのを待って再開してください。GitHub Modelsの責任ある使用について詳しく学ぶ。
この投稿「Hack the AI agent: Build agentic AI security skills with the GitHub Secure Code Game」は、The GitHub Blogで最初に公開されました。
原文を表示
I was scrolling through my feed one evening when I came across OpenClaw, an open source personal AI assistant that people were calling everything from “Jarvis” to “a portal to a new reality.” The idea is beautiful: an AI that lives on your machine or in the cloud, talks to you over WhatsApp or Telegram, clears your inbox, manages your calendar, browses the web, runs shell commands, and even writes its own plugins. Users were having it check them in for flights, build entire websites from their phones, and automate things they never thought possible.
My first reaction was the same as everyone else’s: this is incredible.
My second reaction was…different. I started thinking about what happens when that kind of power meets a malicious prompt. What if someone tricks the agent into reading files it should not access? What if a poisoned web page rewrites the agent’s instructions? What if one agent in a multi-agent chain passes bad data to another that blindly trusts it?
Those questions became Season 4 of the Secure Code Game.
The Secure Code Game: Learn secure coding and have fun doing it
The Secure Code Game is a free, open source in-editor course where players exploit and fix intentionally vulnerable code. When I created the first season in March 2023, the goal was straightforward: make security training that developers would enjoy. Fix the vulnerable code, keep it functional, level up. That core philosophy has not changed across any season.
Season 2 expanded into multi-stack challenges with community contributions across JavaScript, Python, Go, and GitHub Actions. Season 3 took players into LLM security, where they learned to hack and then harden large language models. Along the way, over 10,000 developers across the industry, open source, and academia have played to sharpen their skills.
What has changed with each season is the landscape. When we launched Season 1, AI coding assistants were just starting to become mainstream. By Season 3, we were teaching players to craft malicious prompts and then defend against them. Now, with Season 4, we are tackling the security challenges of AI systems that can act autonomously. They can browse the web, call APIs, coordinate with other agents, and act on your behalf.
Why agentic AI security matters right now
The timing is not a coincidence. AI agents have moved from research prototypes to production tools at remarkable speed, and the security community is racing to keep up.
The OWASP Top 10 for Agentic Applications 2026, developed with input from over 100 security researchers, now catalogues risks like agent goal hijacking, tool misuse, identity abuse, and memory poisoning as critical threats. A Dark Reading poll found that 48% of cybersecurity professionals believe agentic AI will be the top attack vector by the end of 2026. And Cisco’s State of AI Security 2026 report highlighted that while 83% of organizations planned to deploy agentic AI capabilities, only 29% felt ready to do so securely.
The gap between adoption and readiness is exactly where vulnerabilities thrive. And the best way to close that gap is by learning to think like an attacker.
Meet ProdBot: your deliberately vulnerable AI assistant
Season 4 puts you inside ProdBot, your productivity bot, a deliberately vulnerable agentic coding assistant for your terminal. Inspired by tools like OpenClaw and GitHub Copilot CLI, ProdBot turns natural language into bash commands, browses a simulated web, connects to MCP (Model Context Protocol) servers, runs org-approved skills, stores persistent memory, and orchestrates multi-agent workflows.
Your mission across five progressive levels is simple: use natural language to get ProdBot to reveal a secret it should never expose. If you can read the contents of password.txt, you have found a security vulnerability.
No AI or coding experience is needed…just curiosity and willingness to experiment. Everything happens through natural language in the CLI.
Five levels, five upgrades, five vulnerabilities
Each level of the game mirrors a stage in how real AI-powered tools evolve. As ProdBot gains new capabilities, the upgrade opens a new attack surface for you to discover. Here is what ProdBot looks like as it grows:
Level 1 starts with the basics: ProdBot generates and executes bash commands inside a sandboxed workspace. Can you break out of the sandbox?
Level 2 gives ProdBot web access. It can now browse a simulated internet of news, finance, sports, and shopping sites. What could go wrong when an AI reads untrusted content?
Level 3 connects ProdBot to MCP servers…external tool providers for stock quotes, web browsing, and cloud backup. More tools, more power, more ways in.
Level 4 adds org-approved skills and persistent memory. ProdBot can now run pre-built automation plugins and remember your preferences across sessions. Trust is layered…but is it earned?
Level 5 is everything coming together: six specialized agents, three MCP servers, three skills, and a simulated open-source project web. The platform claims all agents are sandboxed and all data is pre-verified. Time to put that to the test.
Each level builds on the previous one, and that progression is the point.
We aren’t going to tell you exactly which vulnerabilities you will find at each level as that would ruin the fun. But we will say this: the attack patterns you will discover in Season 4 are not theoretical. They reflect the kinds of risks that security teams are grappling with right now as organizations deploy autonomous AI systems into production.
Think about CVE-2026-25253 (CVSS 8.8 – High): Known as “ClawBleed” or the one-click Remote Code Execution (RCE) vulnerability. It allowed attackers to steal authentication tokens via a malicious link and gain full control of the OpenClaw instance.
The goal is not just to learn a specific exploit. It is to build the instinct that helps you spot these patterns in the wild, whether you are reviewing an agent’s architecture, auditing a tool integration, or simply deciding how much autonomy to give the AI assistant that just landed on your team.
Get started in under 2 minutes
This entire experience runs in GitHub Codespaces, so there is nothing to install, nothing to configure, and it doesn’t cost you a penny (Codespaces offers up to 60 hours of free usage per month). You can be inside ProdBot’s terminal in under two minutes, and each season is self-contained, so you can jump straight into Season 4 without covering the earlier ones.
You may find Season 3 to be a helpful foundation since it builds the basics of AI security. But it is not required. Just bring your hacker mindset.
Ready? Start Season 4 now >
Special thanks to Rahul Zhade, Staff Product Security Engineer at GitHub, and Bartosz Gałek, creator of Season 3, for testing and improving Season 4.
FAQ
Do I need AI or coding experience to play Season 4?
No. Everything happens through natural language in the CLI. You type plain English, or any language, prompts and ProdBot responds. Curiosity and a willingness to experiment are all you need.
Do I need to complete previous seasons first?
No. Each season is self-contained. You can jump directly into Season 4 by running ProdBot and typing level <N>. That said, Season 3 builds a helpful foundation in AI security and takes about 1.5 hours.
How long does Season 4 take?
Approximately two hours, though it varies depending on how deeply you explore each level. Some players like to try multiple approaches per level.
Is this free?
Yes. The Secure Code Game is open source and free to play. It runs in GitHub Codespaces, which provides up to 60 hours of free usage per month.
What are the rate limits?
Season 4 uses GitHub Models, which have rate limits. If you hit a limit, wait for it to reset and resume. Learn more about responsible use of GitHub Models.
The post Hack the AI agent: Build agentic AI security skills with the GitHub Secure Code Game appeared first on The GitHub Blog.
関連記事
datasette-agent-charts 0.1a1 のリリース
Simon Willison が「datasette-agent-charts」のバージョン 0.1a1 を公開し、色なしカラムでの自動着色や SQL 実行権限の確認機能を追加した。
Datasette IP レート制限プラグイン 0.1a0 のリリース
Simon Willison が、悪意あるクローラーからサイトを守るため、Codex（GPT-5.5 xhigh）に作成させた設定可能なレート制限プラグイン「datasette-ip-rate-limit」のバージョン 0.1a0 を公開した。
BGP AS_PATH の最初の AS を強制する仕組みの導入
Cloudflare は、Spamhaus が報告したルート乗っ取り事案を踏まえ、不正なアクターが未使用の自律システム番号（ASN）を利用して偽の AS_PATH を作成しトラフィックを誤誘導する手口に対処するため、BGP の経路情報において最初の AS 番号の検証を強化する措置を発表した。