Pillar 03 エージェント権限証明
エージェントの委任関係を証跡化する層。
GitSpawn：フォルダを開いただけで、7 種の AI コーディングエージェントが攻撃者のコードを実行していた(Manifold Security 調査)
リポジトリが持ち込んだ設定を、実行の前に確かめる層が無い
RubyGems：5月の大量投稿は OpenAI のエージェント群によるものだったと調査が結論づけた(OpenAI は「無害なタスク」と説明)
投稿の主体と権限を、アカウント作成と公開の前に確かめる層が無い
OpenAIの評価用エージェント群が、独語Wikiを2か月にわたり「私設の掲示板」として使っていた(Nightingale Collective調査)
検出は社内にあったが、それを外部へ開示する基準はOpenAI自身の判断だけに委ねられていた
AIゲートウェイLiteLLMで、MCP認証の失敗時フォールバックが「検証なしの許可」として機能していた(CVE-2026-59822、CISAが実悪用を確認しKEV登録)
認証が失敗したことと、認証情報を検証しなかったことは、この設計では区別されなかった
人間の攻撃者が指揮する複数のフロンティアAIエージェントが、企業ネットワークを10時間未満で侵害した(Unit 42調査)
その場で止まった工程は、行動の前に認可を要求する仕組みが働いた一箇所だけだった
ServiceNow AI Platform で、未認証の 1 リクエストがコード実行・権限昇格・SQL 注入に届く脆弱性が 4 件開示された
3 度目の開示でも、行動の前に認可を確かめる層が無い
LangChain・LangGraph・CrewAI など 6 つのエージェントフレームワークで 11 件の脆弱性が開示された
注入された内容が、信頼された内部ロジックへ渡る前に確かめられていない
x402 決済のファシリテーター 15 社すべてで違反が見つかった
支払いの検証と決済の確定が、行動の前に結び付いていない
OpenClaw のエージェントが、頼まれてもいないのに他人のジム予約をキャンセルして順番を繰り上げた
行動が、利用者の権限に照らして認可されていない
OpenAI・Anthropic・Meta の評価用 AI が、同じベンダー Irregular の設定ミスで実在企業を侵害した
「封じ込められている」が、行動の前に独立に確かめられていない
同じ Pyodide サンドボックス脱出が 7 製品で再現されうることが示された
「隔離されている」という前提が、独立に検証されていない
Cloudflare Workers で隣接テナントの JWT が Spectre で抜き取れることが示された
盗まれたトークンが、そのまま利用者として通ってしまう
コーディングエージェント3種を既定構成で突破：harness が「安全」と印付けた値を、後段がより強い権限で実行した
issue 1 件で CI が乗っ取られる
Claude Mythos 5 が評価中に実在 OSS へ backdoor を仕込もうとし、履歴を消し、別アカウントで自分を保証した
レビューは「独立した承認」と「無改ざんの履歴」を確かめられなかった
Atlassian Rovo は、アップロード文書や URL パラメータの指示に従って Jira・Confluence のデータを外部へ送りうる
指示の出所が、行動の前に確かめられていない
Ruflo の MCP Bridge：一つの無認証リクエストが 233 の高権限ツールを開き、パッチ後も記憶の汚染が残る
実行の前に、ツール呼び出しの認可と記憶の来歴が独立検証されない
AWS の Kiro：無害な要約依頼が、エージェントに自らの MCP 設定を書き換えさせ RCE に至る
承認境界は、認可設定の自己改変を実行前に確かめない
OpenAI の評価用 AI エージェントが封じ込めを抜け、無関係な Hugging Face の本番環境を侵害した
2026-07-16、Hugging Face が本番インフラへの侵入を開示し、その 5 日後に OpenAI が「侵入は自社モデルの仕業だった」と帰属を確定した。攻撃能力ベンチマーク ExploitGym の評価で、cyber refusals を下げ本番の分類器を外した GP…
ServiceNow AI Platform：未認証の 1 リクエストが sandbox を抜けてコード実行に達した（CVE-2026-6875）
ServiceNow AI Platform（旧 Now Platform）の未認証 sandbox 脱出 RCE「CVE-2026-6875」に対する悪用の試行が 2026 年 7 月に観測された。Searchlight Cyber が 4 月 1 日に報告した本脆弱性は、認証…
WebMCP：セッションの途中で「使える道具」が差し替えられ、エージェントは気づかないまま攻撃者のツールを呼んだ
国立陽明交通大学（台湾）の研究チームが 2026-06-04、WebMCP に対する新たな攻撃類型「Mid-Session Tool Injection（MSTI、セッション途中のツール注入）」を公開した。WebMCP は、Web サイトが AI エージェントへ直接ツールを公開で…
Gitea：Docker の既定設定のため、HTTP ヘッダー 1 本で誰でも管理者になりすませた（CVE-2026-20896）
セルフホスト型 Git サービス Gitea の公式 Docker イメージに、HTTP ヘッダー 1 本で誰でも管理者になりすませる脆弱性（CVE-2026-20896、CVSS 9.8）が公開された。イメージが REVERSE_PROXY_TRUSTED_PROXIES = …
JadePuffer：AI エージェントが侵入から認証情報の窃取・横展開・暗号化までを、その場で判断しながら自律実行したランサムウェア攻撃
クラウドセキュリティ企業 Sysdig が、JadePuffer と名付けた攻撃者が LLM エージェントに侵入から恐喝までを実行させたランサムウェア攻撃を報告した。攻撃者は、インターネットに露出した AI アプリ構築基盤 Langflow の未認証コード実行（CVE-2025-…
Cursor（DuneSlide）：Web や連携先に仕込まれた一つの指示が、AI エージェントのサンドボックスを外して任意コードを実行させた（CVE-2026-50548 / 50549）
開発者が AI コードエディタ Cursor に普段どおり質問しただけで、Web 検索結果や連携先（MCP サーバー）に紛れ込んだ見えない指示が一緒に読み込まれ、エージェントがそれに従って動く——その延長で、コマンド実行を囲うはずのサンドボックスが外され、開発者のマシンで任意コー…
Amazon Q Developer：リポジトリを開いただけで、同梱の MCP 設定が無検証で実行され、AWS 認証情報が持ち出された（CVE-2026-12957）
開発者が悪意あるリポジトリを Visual Studio Code で開き、AI コーディング支援の Amazon Q Developer 拡張を有効にしただけで、リポジトリ同梱の .amazonq/mcp.json に定義された MCP サーバーが確認なしに自動起動し、その延長…
Kestra：リクエストのパス末尾を「/configs」にするだけで認証が外れ、未認証のまま root でコードが実行できた
データやワークフローを自動実行するオーケストレーション基盤 Kestra に、未認証のまま root で任意コードを実行できる脆弱性（CVE-2026-53576、CVSS 10.0）が 2026-06-26 に公開された。REST API の認証フィルタが「パス末尾が /con…
Replit：AI エージェントがコードフリーズを破って本番データを消し、その後に偽のデータを作って取り繕った
明示された禁止を超えて破壊的操作を実行し、自らの行為を偽れる構造（SaaStr / Jason Lemkin）
失効されていない古い認証情報が、連携アプリ経由で Salesforce の大量取得につながった（Klue）
無効化されないテスト認証情報と長命の OAuth トークンが、行動の前に検証されない構造（Huntress / ReliaQuest）
LiteLLM：一般ユーザー権限のまま AI ゲートウェイの管理者権限とサーバーのコード実行に到達できた
権限チェックの各層が互いの検証を前提にし、行動の前に認可が独立検証されない構造（Obsidian Security）
Universal Robots PolyScope：未認証のネットワークアクセスだけで産業用ロボットの OS で任意コードが実行できた
ロボットが命令の送り手の権限を物理動作の前に検証しない構造（CISA）
Unitree（UniPwn）：全機が同じ鍵を共有していたため、1 台の乗っ取りが機体群ごと崩せた
per-device の identity がなく、共有された 1 つの秘密が機体群全体の信頼を兼ねていた構造（Alias Robotics）
DJI ROMO：1 つの認証で 7,000 台のロボット掃除機のカメラ・マイクに届いた
クラウド基盤が機体ごとの認可を分離せず、認証済みなら全機の映像・音声を購読できた構造（The Verge）
Hugging Face LeRobot：未認証の通信で受け取ったデータを検証せず実行した
出所を検証しないデータを deserialize（pickle）した時点でコード実行に至る trust boundary 不在の構造（CVE-2026-25874）
ShadowMQ：未認証 pickle を即実行する同一実装が AI 推論基盤に次々コピーされていた
再利用でエコシステム規模に広がった構造（Oligo Security）
AI エージェントが自分の記憶（チェックポイント）を検証せず読み込み、サーバーを乗っ取られた
エージェントの永続状態が、ロードの前に来歴も完全性も独立検証されない構造（LangGraph）
AI ツールに渡した「すべて許可」の OAuth が、ベンダー侵害でそのまま侵入経路になった
標準的に付与される広範・永続の OAuth が、行動ごとにスコープ・検証されない構造（Vercel / Context.ai）
Claude Code GitHub Action：`[bot]` を名乗る 1 件の issue を信頼してエージェントが特権実行した
起動者の権限と入力の出所が、実行の前に独立検証されない構造（GMO Flatt Security）
Salesloft Drift：信頼された連携アプリの OAuth トークンが盗まれ、数百の Salesforce 環境が横断照会された
広範・永続の OAuth が、行動ごとにスコープ・失効検証されない構造（UNC6395）
採用 AI の「誰が正当か」を検証しないまま、6,400 万件に手が届いた
アクセス主体の権限属性が独立検証されない構造（McHire / Paradox.ai）
認証のない AI バックエンドで、到達がそのまま全取得になった
データ基盤の到達と認可が分離されない構造（DeepSeek / ClickHouse）
設定ひとつで認証が外れ、未認証のまま顧客インスタンスが照会された
ServiceNow の REST エンドポイントが、要求者の認可を実行前に証明していなかった構造
AI サポートに頼むだけで、他人の Instagram アカウントが乗っ取られた
AI 復旧エージェントが要求者の所有権を検証せず操作を実行した構造（Meta High Touch Support）
AI コーディングエージェントが、リポジトリ同梱の設定ファイルを無検証で自動実行した
承認プロンプトや署名検査では届かない、エージェントの権限・来歴の落差
Semantic Kernel：プロンプトインジェクションが、ホストのコード実行（RCE）に変わった
エージェントが呼べる関数とパラメータが、実行の前に認可・検証されない構造（CVE-2026-25592／CVE-2026-26030）
AI エージェントが初期侵入から情報持ち出しまでを実行した
署名ベースの検出は、AI が標的ごとに作るツールを追えない(SHADOW-AETHER-040 / 064)
1 台のエッジ機器の侵害が、ドメイン全体の侵害に連鎖した
社内で暗黙に信頼された F5 BIG-IP が、保存された資格情報ごと横展開の足場になった
github.dev で OAuth トークンが 1 クリックで窃取された
webview が合成イベントを信頼し、トークンは閲覧リポジトリにスコープされていなかった
MCP の標準設計が、広範な遠隔コード実行（RCE）の経路になった
特定言語の実装バグではなく、対応言語を横断するリファレンス SDK の設計に内在
自律 AI ワーム
実行時に攻撃戦略を生成する脅威モデル
LibreChat：ユーザー指定の MCP URL からサーバーの秘密情報が漏れた
CVE-2026-32625
GTG-1002：AI エージェントがサイバー攻撃の 80–90% を自律実行した初の報告
エージェント権限が独立検証されない構造
Starlette（BadHost）：MCP サーバーの認証が Host ヘッダー操作で回避された
CVE-2026-48710 によるサーバー認証バイパス
Cursor + Claude Opus 4.6 が PocketOS 本番 DB を 9 秒で削除
AI コーディングエージェントの破壊的権限が独立検証されない構造