AIコードエージェントの10個中9個が危険に？ 新たな脆弱性「GuardFall」、Bashの古の動作を悪用

---

GuardFallとは何か？

GuardFallは、セキュリティ企業Adversa AIが2026年6月30日に公開した脆弱性クラスです。これは、Bashシェルのクォート除去（quote removal） や**$IFS（Internal Field Separator）によるスペーシング**など、何十年も前から存在するシェルのトリックを悪用して、AIコードエージェントがシェルコマンドを実行する前に行う安全チェックをバイパスするものです。

AIコードエージェントは、LLMが生成したシェルコマンドを、実際のシェルに渡す前に安全チェッカーを通過させることがあります。攻撃者は、エージェントが読み込むコンテンツ（悪意のあるREADMEなど）に難読化されたコマンドを埋め込むことで、安全レイヤーはそのコマンドを無害と判断する一方、実際のBashは危険なコマンドを実行する、という状態を作り出します。

GuardFallは、テストされた11個の人気オープンソースAIコードエージェントのうち10個に影響を与えたと報告されています。

---

影響を受けるツール

現時点で報告されている主な影響を受けるオープンソースエージェントは以下の通りです。

ツール名	備考
opencode	影響を受けると報告
Roo-Code	影響を受けると報告
Hermes	影響を受けると報告
その他テストされたオープンソースエージェント	全体で11個中10個が影響を受けたと報告
テストされたうちの1エージェント（Continue）	影響を受けなかったと報告

---

推奨される対策

報告されている問題は、単に危険なキーワードリストが不十分というだけでなく、安全チェッカーが見るものと、実際にシェルが実行するものとの間にミスマッチがあるという構造的な問題です。そのため、多層的な防御アプローチが適切です。

1. 文字列パターンの安全フィルターだけに頼らないこと。 明らかに危険な文字列を探すだけの安全チェックは、Bashが難読化された構文をチェッカーとは異なる方法で解釈することでバイパスされる可能性があります。
2. シェルとの境界を高リスクと捉えること。 モデルの出力やリポジトリのコンテンツから組み立てられたコマンドは、Bashに渡される前にレビュー、エスケープ、または可能な限り実行を避けるべきです。
3. 影響範囲を最小限にする（最小権限の原則）。 AIコードエージェントは、特にクローンしたリポジトリや外部コンテンツを扱う場合、タスクに必要な最小限の権限で実行します。
4. ベンダーのパッチが利用可能な場合は適用すること。 関連するAIコードエージェントの脆弱性は、一部のケースで修正されています。例えば、GoogleはGemini CLIの最大深刻度の脆弱性（GHSA-wpqr-6v78-jr5g）を修正しています。
5. 機密性の高い環境では、エージェントが提案するコマンドを手動でレビューすること。
6. READMEやコードファイルなどの外部コンテンツは信頼できないものとして扱うこと。 GuardFallスタイルの攻撃は、エージェントが悪意のあるコンテンツを取り込むことに依存しているためです。

---

業界全体の状況 — 2026年6月

2026年6月の報道では、多くのAIコードエージェントが、信頼、コマンド実行、ワークスペースコンテンツに関して同様の構造的な弱点を共有していることを示す、複数の調整された脆弱性開示があったことが報告されています。

• TrustFall（トラストフォール） — Claude Code、Cursor、Gemini CLI、GitHub Copilotなどのツールで悪意のあるリポジトリを開き、信頼プロンプトを受け入れるだけで、SSHキー、クラウド認証情報、シェル履歴などの機密データにアクセスする攻撃者コードが実行される可能性があると報告されました。
• SymJack（シムジャック） — シンボリックリンクをハイジャックするRCE（リモートコード実行）クラスで、Claude Code、Cursor、Antigravity、Copilot CLI、Grok Buildを含む複数のエージェントに影響を与える、より静かな攻撃パターンとして報告されました。
• GuardFall（ガードフォール） — 上記の通り、Bashの解析動作を利用してAIコードエージェントのコマンド安全チェックをバイパスするものです。
• Gemini CLI CVSS 10.0 — GoogleはGemini CLIの最大深刻度の脆弱性（GHSA-wpqr-6v78-jr5gとして追跡）を修正しました。これは、ヘッドレスCI/CD実行が攻撃者制御下のワークスペースファイルを自動的に信頼し、CI/CDビルドランナー上での任意のコマンド実行を許すというものでした。

研究者が指摘する主な構造的懸念事項：

• プロンプトインジェクションは依然としてエージェンティックコーディングツールにとって中心的なリスクである。 NISTはプロンプトインジェクションを「生成AI最大のセキュリティ上の欠陥」と特徴付け、OWASPはLLMアプリケーションTop 10のトップ脆弱性に位置づけています。
• 信頼プロンプトだけでは十分ではない。 TrustFallスタイルの報告では、ユーザーがリポジトリの信頼プロンプトを受け入れた後に、攻撃者コードが実行されることが示されました。
• テキストベースのコマンド安全チェックは完全なセキュリティ境界ではない。 GuardFallスタイルの攻撃は、Bashが難読化されたコマンド文字列を安全レイヤーとは異なる方法で解釈することに依存しているためです。
• ベンダーの対応はまちまちであった。 報告によると、GoogleとCursorはTrustFall/SymJackスタイルの問題へのパッチ適用を正式に辞退し、xAIとGitHub Copilot CLIは研究者からの問い合わせに返答しなかったとされています。