「ITニュース」｜Microsoft — CI に載せた Claude Code と Read ツールの隙間
はじめに
2026年6月5日、Microsoft Threat Intelligence は Security Blog で、Anthropic の Claude Code GitHub Action が Issue／PR 本文などの未信頼テキストを処理するワークフローで、Read ツールだけが Bash 用の隔離（Bubblewrap サンドボックス）の外で動き、`/proc/self/environ` から `ANTHROPIC_API_KEY` 等を読める事例を公表しました。Microsoft は 4月29日に HackerOne 経由で開示し、Anthropic は 5月5日の Claude Code 2.1.128 で `/proc` 読取を拒否した、と記載しています。
読みどころは次の2点です。
パッチ番号より設計 — Microsoft が推す Agents Rule of Two（未信頼入力・シークレット・外部通信の 3 能力を同時に持たない）
2系統の修正 — 研究者が報告した 権限モデル（v1.0.94） と、今回の Read／サンドボックス非対称（2.1.128） は 別経路
※本記事は Microsoft Security Blog、GMO Flatt Security の公開研究、GitHub 公式ドキュメントを中心にした整理です。脆弱性の悪用・無許可の侵入テストを助長する内容ではありません。ワークフロー変更・シークレットローテーションは組織の変更管理に従ってください。Microsoft・Anthropic への取材は行っていません。
この記事での用語
1. 何が起きたのか（結論）
先に結論です。
2026年6月5日、Microsoft が エージェント型 CI/CD の事例研究として上記ブログを公開
攻撃の形 — 未信頼の Issue／PR／コメントに埋めた指示で、エージェントの Read ツールが `/proc/self/environ` を読み、`ANTHROPIC_API_KEY` 等が取れる（Microsoft のラボ再現）
なぜ抜けたか — Bash 向けには 環境変数のスクラブ（`CLAUDE_CODE_SUBPROCESS_ENV_SCRUB`）がある一方、Read は同一の隔離境界を通らない、と Microsoft が説明
緩和 — Anthropic は Claude Code 2.1.128（2026年5月5日）で 機密 `/proc` ファイルへの Read を拒否（Microsoft ブログ記載）
別系統の修正 — GMO Flatt Security（RyotaK）が報告した 権限迂回・OIDC 連鎖は `claude-code-action v1.0.94` 等で対処。バージョン名と製品名が違う点に注意（下記 §4）
忙しい方向けに一言でいうと、
「CI のシークレットは昔から守る対象だった。いま増えたのは、Issue 本文を“指示”として実行するエージェントという第二の入力面」——Microsoft が示したのは 単一 CVE より運用設計、というニュースです。
2. Microsoft 一次で言えること
2-1. 攻撃面の変化
Microsoft は、GitHub Actions がもともと YAML とシークレットの世界だったのに対し、自然言語を解釈してツールを選ぶエージェントを載せると、信頼境界が「コード」から「エージェントが読むすべてのテキスト」へ広がる、と整理しています。
典型的な流れ（ブログ要約）:
GitHub イベント（issue、PR、コメント）がワークフローを起動
その内容が LLM のプロンプトに入る
モデル出力が ツール呼び出しとして実行される
ランナー上の シークレット・トークンに到達しうる
2-2. Read と Bash の非対称
Microsoft の再現では、non-write user 向けに 環境スクラブが有効な設定でも、Read ツール経由で `/proc/self/environ` が読めた、と記載されています。
Bash — Bubblewrap サンドボックス＋子プロセスの env スクラブ
Read — プロセス内の直接呼び出しとして動き、上記隔離を バイパスした、と説明
窃取例では、モデルが 先頭7文字を削除した形でキーを出力し、GitHub Secret Scanner のパターン一致を避ける手法も示されています（ブログ図表）。
2-3. Agents Rule of Two
Microsoft が推奨する 3 能力の同時禁止:
3 つすべてを同時に持つワークフローは高リスク、と位置づけています。あわせて システムプロンプトで信頼モデルを明示し、トークンは最小権限・用途別に分けるよう促しています。
2-4. 観測された攻撃試行
ブログでは、公開リポジトリ向けの AI 支援ワークフローへの プロンプトインジェクション試行も触れています（HTML コメント内 payload、Issue triage 経由の XSS 埋め込み PR 等）。本件の Read 穴とは別事例ですが、同じ「未信頼 GitHub テキスト × 強力ツール」の文脈で読まれます。
3. 研究者・他ベンダの公開情報（報道・ブログ）
Microsoft ブログ以外に、同じ攻撃クラスを別角度から報告した公開研究があります。一次は各研究者のサイト、数値は 報道・ブログ経由として扱います。
3-1. GMO Flatt Security（RyotaK）— 権限モデルと OIDC
Poisoning Claude Code では、`checkWritePermissions` の迂回や `allowed_non_write_users: "*"` により 未信頼ユーザーがワークフローを起動し、間接プロンプトインジェクションで OIDC／`GITHUB_TOKEN` 窃取に至る連鎖が報告されています。
修正の目安 — `claude-code-action v1.0.94` 以上（報道では CVSS 7.8、バウンティ $4,800 等）
本件との関係 — 攻撃クラスは同じだが、入口と修正バージョンが別。Microsoft の Read／`/proc` 問題は 2.1.128 側
3-2. Comment and Control（横断研究）
Aonan Guan のブログ では、Claude Code Security Review／Gemini CLI Action／GitHub Copilot Agent に コメント経由の資格情報窃取が横断的に示されています。研究者は 2026年4月20日、Anthropic が当該 HackerOne を Severity None に変更した旨を追記しています。
執筆時点では、Anthropic から 6月5日以降の公式アドバイザリは本記事執筆前の確認範囲では見つけていません（Microsoft ブログと GitHub リポのコミットが実務上の一次に近い）。
4. 混同しやすい点（チェックリスト）
5. なぜ今の見出しになりやすいか
2026年春〜夏 — エージェント型 CI の導入が増え、公式サンプル YAML のコピペが広がっている時期
責任ある開示の公開段階 — 5月5日緩和のあと、6月5日に Microsoft が 再現手順・MITRE ATLAS マッピング・運用ガイドを出した
業界語彙 — 同ブログは GitHub Agentic Workflows の defense-in-depth を参照し、ベンダ Action 直置きとの比較材料になっている
6. 短期・中期・長期の整理（観察レーン）
時間軸の定義（本記事内）
短期 — おおよそ 0〜3か月（2026年6月〜8月）
中期 — 3か月〜1年
長期 — 1年以上
短期（0〜3か月）
予想される動き — `.github/workflows` の棚卸し、2.1.128／v1.0.94 への pin、社内勉強会での Agents Rule of Two 共有。プロンプトインジェクションが 「LLM の性格」ではなく「CI 設計レビュー項目」としてチケット化されやすい。
不確実性 — 2.1.128 がランナーに載る経路（Action のタグ pin、キャッシュ）はリポごとにばらつく。`/proc` 以外の経路は公開情報だけでは網羅できない。
効果が出にくい条件 — 「社内リポだけ」と見て フォーク PR を想定しない。パッチより機能追加で権限を広げ続ける。
中期（3か月〜1年）
予想される動き — GitHub Agentic Workflows（読み取り専用既定、threat detection、safe outputs）が 新規設計の参照になりやすい。ツール allowlist と 出力サニタイズが CI テンプレに載る。監査で 「AI workflow 一覧」を求められる可能性。
不確実性 — Copilot Agent、Gemini CLI、Cursor Automations など ベンダごとに修正粒度が違う。CVE 未付与だと脆弱性管理 DB に載らず SLA が曖昧になりうる（CSA 等の二次整理）。
効果が出にくい条件 — チェックリスト化だけ進み、未信頼入力とシークレットの分離が設計に反映されない。
長期（1年以上）
予想される動き — CI の信頼境界が 「コード＋依存関係」から 「エージェントが読むテキスト全体」へ拡張され、サプライチェーン／AI ガバナンスの文脈で接続されうる。
不確実性 — 新ツール（MCP 拡張）ごとに 同型のサンドボックス漏れが繰り返されるかは不明。人間承認と 速度のトレードオフが再燃しうる。
効果が出にくい条件 — 決定論的ポリシーや ハードウェア隔離が普及し 「プロンプト＝コード」問題が構造的に薄れる場合（時期は公開情報からは未定）。
7. 読者別の実務メモ
8. まとめ
2026年6月5日の Microsoft 公開は、Claude Code GitHub Action における Read ツールのサンドボックス漏れを 事例として固定化したものです。5月5日の 2.1.128 で `/proc` は塞がれた一方、権限モデル（v1.0.94） と 運用設計（Agents Rule of Two） は 別の宿題として残ります。パッチ番号の確認とあわせて、未信頼入力・シークレット・外部通信が同時に載っていないか、ワークフロー設計の見直しが実務上の一手です。
主な参照
免責
本記事は一般向けの情報整理であり、特定の製品導入、CVE 対応方針、ワークフロー変更、シークレットローテーション、無許可の侵入テスト、投資、訴訟対応、契約条項の解釈を推奨するものではありません。セキュリティ・法務・変更管理の判断は、最新の公式ドキュメント、自社の規程、専門家・担当部門の確認に従ってください。
【PR】
私も転職エージェントを利用して転職しました。
