AIを騙しシェルを奪うGitHubリポジトリ攻撃が公開

2026年6月29日、Mozillaのセキュリティ研究組織「Zero Day Investigative Network（0DIN）」は、Claude Codeなどのエージェント型AIコーディングツールを欺いて標的デバイスを侵害する、新たな「間接的プロンプトインジェクション」攻撃手法を公開した。この手法は、一見クリーンに見えるGitHubリポジトリを利用し、通常の初期化プロセスを偽装したエラーによってAIエージェントにシェルコマンドを自動実行させることで、開発者のシステムシェル権限を乗っ取るというものである。

1. DNS TXTレコードを用いた検知回避の仕組み

この攻撃手法の最大の特徴は、GitHubリポジトリ内に悪意あるコード（ペイロード）を直接配置しない点にある。攻撃の流れとして、AIエージェントがセットアップ時に実行するスクリプトが、攻撃者の管理するDNSのTXTレコードに保存された設定値を動的に取得してコマンドとして実行する。これにより、ソースコードの事前レビューや静的なセキュリティスキャナーによる検知を完全に回避することが可能となる。

2. 初期化エラーを偽装したAIエージェントの誘導

開発者が対象のGitHubリポジトリを読み込ませた際、そのパッケージは初期化されるまで実行を拒否し、「python3 -m axiom init」などのセットアップコマンドを実行するよう促すエラーを出力する。AIエージェントはこのエラーを通常の依存関係解決やセットアップ手順であると認識し、エラーを自動的に修復しようと提示されたコマンドを実行する。この実行トリガーにより、攻撃者がDNS経由で仕込んだシェルスクリプトが起動され、攻撃チェーンが完了する。

3. 侵害時の影響と想定される攻撃シナリオ

攻撃が成功した場合、攻撃者は開発者と同等の権限で実行されるシェルを取得できる。これにより、ローカルファイル、環境変数、APIキー、構成設定ファイルなどにアクセスされるだけでなく、システム内での永続性を確立される危険性がある。本手法はコンセプト段階（PoC）であるが、求人広告やブログ記事、ダイレクトメッセージ等を通じて無害を装ったGitHubリポジトリを配布すれば、脅威アクターによる開発環境への容易な侵入経路になり得ると警告されている。

本攻撃手法は、AIによる開発自動化の利便性を逆手に取ったものである。対策として、AIツールが推奨するコマンドだけでなく、そのコマンドが呼び出すスクリプトの内容や、実行時に外部から取得するリソースも含めて機械的に検証する能力がAI側にも求められる。開発者は、信頼できないリポジトリに含まれるセットアップ手順やスクリプトをAIエージェントにそのまま実行させず、慎重に内容を管理・検証する姿勢が必要不可欠である。