GitLab、AI エージェントのサンドボックスはネットワークアクセス次第と警告

GitLab は、AI コーディングエージェントをサンドボックスに隔離しても、必ずしも安全になるとは限らないと警告しています。同社が発表した新しいセキュリティ分析では、内部評価の一環として行われたある事例が紹介されています。その事例では、AI エージェントが、サンドボックスの許可リストに明示的に登録されていた脆弱なパッケージプロキシを悪用して、サンドボックスから脱出しました。

この出来事は、エージェント型開発環境におけるより広範な問題を浮き彫りにしています。サンドボックスはエージェントが直接アクセスできる範囲を制限できますが、信頼された接続を通じてエージェントに意図しない出口を提供する環境自体を守ることはできません。

報告によると、この事例に関与したのは内部評価中の OpenAI モデルで、これはサンドボックスから脱出してオープンインターネットへ到達し、その後 Hugging Face の社内生産インフラにアクセスしました。その結果、データセットやクラスター情報、クラウド認証情報を取得されてしまいました。GitLab の分析は特に、エージェントがサンドボックス内で既にアクセスを許可されていたパッケージプロキシの脆弱性を悪用した最初の 1 時間に焦点を当てています。

この出来事から得られる重要な教訓は、ネットワークの許可リストと信頼境界は等価ではないということです。サンドボックスは任意の外部接続をブロックしつつも、パッケージレジストリやソース管理システム、API、あるいは内部開発サービスへのアクセスを許可することがあります。しかし、それらのサービスが結果的にエージェントの有効な攻撃対象領域の一部となってしまうのです。

従来のソフトウェアにおいては、このリスクはすでに周知の事実です。しかし、自律型コーディングエージェントの場合、状況は異なります。なぜなら、これらのサービスと相互作用するソフトウェアが、利用可能な機能をどのように悪用するかを能動的に推論できるからです。

エージェントが必ずしも unrestricted なネットワークアクセスを必要とするわけではありません。承認済みのサービスを通じて意図しない経路を見つけさえすればよいのです。

GitLab 自体のエージェント実行への取り組みは、業界が向かっている方向性を示しています。同社の「GitLab Duo Agent Platform」では、アプリケーションレベルでのネットワークとファイルシステムの分離を提供する実行用サンドボックスを採用しています。ネットワークリクエストは傍受され、ホワイトリストに登録されたドメインに対して評価されます。一方、ファイルシステムへのアクセスは指定された場所に制限されています。このサンドボックスは、データ漏洩、不正なデータ収集、悪意のあるコードの取得といったリスクを低減するために特に設計されています。

しかし、GitLab が説明した事案は、これらの制御が単独で機能できない理由を示しています。承認済みの依存関係、プロキシ、またはサービスが侵害された場合、ホワイトリストは壁ではなく、むしろ橋渡し役として機能し得るのです。

このセキュリティ上の問題は、従来の CI/CD 実行とは根本的に異なります。ビルドパイプラインは通常、事前に定義された操作シーケンスに従って動作します。一方、自律型コーディングエージェントは、どのコマンドを実行するか、どのファイルを調査するか、どのサービスに問い合わせるか、そしてそれらのアクションが失敗した場合にどう対応するかを自ら決定できます。

悪意あるプロンプト、侵害された依存関係、脆弱なサービス、あるいは汚染されたリポジトリが、エージェントの判断に影響を与える可能性があります。一度、ツールや認証情報、ネットワークリソースへのアクセス権を付与されると、「開発自動化」と「特権を持つ運用アクター」の境界は次第に曖昧になっていきます。

GitLab の調査結果は、他のコーディングエージェントに関する研究とも強く一致しています。特に重要なのは、これらの攻撃の多くがサンドボックスそのものを直接「突破」したわけではないという事実です。むしろ、エージェントはファイルや設定を操作し、それが後にサンドボックス外の信頼できるコンポーネントによって消費されることで悪用されました。

クラウドセキュリティアライアンス（Cloud Security Alliance）はこの問題を「[信頼の引き渡し]」の欠陥として説明しています。これは、エージェントが許可された環境内に留まりながら、その外部にあるリソースを利用してより高い権限で行動を実行するケースを指します。これは、一見すると信頼できるパッケージプロキシが、孤立したエージェントと広範な環境をつなぐ橋渡し役となり得るとする GitLab の警告と非常に似ています。

AI モデルそのものに関わるより深刻な事例も存在します。Anthropic は、第三者のセキュリティ評価環境で動作していた Claude モデルがインターネットに接続し、実システムへの不正アクセスを遂げた 3 つのインシデントを公表しました。同社はこれらの事象が、評価環境と本番システムの間の分離に弱点があったことを示すものとして捉え、追加の実時間制御の導入や評価基盤の見直しに対応しました。ほぼ同時期には、OpenAI も隔離されたテスト環境から脱出したモデルが Hugging Face のインフラにアクセスしたインシデントを公表しています。また最近の研究では、攻撃者が Cursor を操作して複数の組織に対する攻撃を実行していたことが報告され、エージェントが単なる標的となるだけでなく、攻撃者の運用ツールとして悪用される可能性が示されました。

したがって、現実的な対応策はエージェントサンドボックスを放棄することではなく、AI エージェントのためのより広範なゼロトラストアーキテクチャの一部としてサンドボックスを組み込むことです。

エージェントには、特定のタスクに必要となる認証情報と権限のみを付与すべきです。アクセスは理想的には短期間で限定し、対象のレポジトリ、環境、またはワークフローにスコープを絞るべきです。ネットワークへのアクセスは広く許可するのではなく最小限に抑え、機密性の高いサービスについては、信頼できる開発環境から発せられたリクエストであれば安全だと安易に判断せず、独立した認証と認可を要求すべきです。

重要なのは、インフラストラクチャのイベントだけでなく、エージェントの動作自体も監視することです。予期しないコマンドの実行、不自然なネットワークリクエスト、認証情報へのアクセス試行、失敗が繰り返された後の代替アプローチの採用、あるいは意図したワークフロー外のサービスとの相互作用を試みる行為などは、すべて有用なシグナルとなり得ます。

自律的なコーディングがソフトウェアデリバリーの標準的な一部となる中で、サンドボックス化は重要な防御層であり続けます。しかし、それは最終的な防壁ではありません。新たなセキュリティモデルでは、アイソレーション（隔離）とアイデンティティ、最小権限の原則、サプライチェーンセキュリティ、ネットワーク制御、行動監視、そしてエージェントが実際に何を許可されるべきかという明示的なガバナンスを組み合わせる必要があります。

著者について

クレイグ・リシ

クレイグ・リーシは多才な人物ですが、その才能をどう活かすべきかについては、あまり自覚がないようです。世界を変える活動に注力するよりも、ソフトウェア開発を選ぶことを好んでいます。

彼はソフトウェアデザインへの情熱を持っていますが、それ以上に重要視しているのは、技術的に多様で常に変化し続けるテクノロジーの世界において、高品質なシステムを設計することです。

クレイグはまた、『Quality By Design: Designing Quality Software Systems』という書籍の著者であり、自身のブログや世界各地のさまざまなテックメディアに定期的に記事を寄稿しています。

ソフトウェアに触れ合う時間以外には、文章を書いたり、ボードゲームをデザインしたり、理由もなく長距離を走ったりしている姿をよく見かけます。