2026年、AIコーディング基盤のセキュリティが根本から問い直されている。Black Hat USA 2026でPalo Alto Networksの研究者が実証した「10億ユーザー爆発半径」攻撃、Check Point Researchが発見したDNS隠密窃取チャネル、Wiz Researchが公開したGhostApproval信頼境界突破――これらは個別のバグではなく、AIコーディングアシスタントのサンドボックス設計に内在する構造的欠陥の異なる表出である。LLMの構造的脆弱性が企業インフラに直結する現在、コード生成AIの実行環境がどのように攻撃され、なぜ既存の防御設計が機能しないのかを体系的に分析する。

ChatGPTサンドボックスの設計構造と2026年攻撃面の全体像

ChatGPTのCode Interpreterは、Debian Bookwormベースのコンテナ化されたLinuxランタイム上で動作する。ユーザーのコードは「sandbox」というユーザーコンテキストで実行され、ファイルアップロードは/mnt/data/ディレクトリに配置される。ホームディレクトリ/home/sandbox/配下には.openai_internal/という内部ディレクトリが存在し、Pythonのexec()機能を通じてコード実行が可能である。0din.aiの調査により、このアーキテクチャの詳細が明らかにされた。

この設計の前提は明確である。コンテナ化によるプロセス隔離、ネットワークアクセスの制限（HTTP/TCPアウトバウンドの遮断）、そしてファイルシステムの限定的な公開によって、ユーザーが実行するコードが外部に影響を及ぼすことを防止するというものである。しかし2026年に相次いで公開された研究は、この多層防御の各層に個別の迂回経路が存在し、それらが連鎖することで「サンドボックス脱出」と実質的に等価な攻撃が成立することを実証した。

2026年の攻撃面は以下の5段階で構造化できる。第一段階はプロンプトインジェクションによる悪意あるコード実行の誘導である。第二段階はファイルパース処理の悪用による永続的なルート実行の獲得。第三段階はファイルシステムアクセスを通じたアップロードデータや内部設定の窃取。第四段階はDNS解決やタスクスケジューラのURL洗浄といったネットワーク隔離の迂回。そして第五段階が、テナント間のデータ窃取やサンドボックス外の信頼されたコンポーネントへの攻撃波及である。OpenAIはサンドボックス内部へのアクセス自体をバグバウンティの対象外としており、真の「脱出」のみが報奨対象となる。しかし研究者らが実証したのは、脱出せずとも実害を生じさせる複数の攻撃経路であり、この境界線の妥当性自体が問われている。

Black Hat 2026「10億ユーザー爆発半径」── Palo Alto Networksが実証した推論チャネル乗っ取りとC2構築

2026年8月5日、Black Hat USA 2026の壇上でPalo Alto NetworksのシニアセキュリティリサーチャーであるSimcha Kosmanが発表した攻撃チェーンは、ChatGPTのサンドボックス設計に対する最も包括的な実証攻撃であった。「A Billion-User Blast Radius（10億ユーザー爆発半径）」と題されたこの研究は、複数の脆弱性を連鎖させることで、単一のプロンプトから完全なC2（Command and Control）チャネルの構築に至る経路を示した。

攻撃チェーンの第一段階はファイルパース処理の悪用である。悪意を持って構築されたファイルをCode Interpreterに処理させることで、永続的なルート実行権限を獲得する。第二段階が本研究の核心である「Reasoning Injection Attack（推論インジェクション攻撃）」である。これは、ChatGPTの内部に存在する隠蔽されたpython.exec推論チャネルを乗っ取る手法であり、通常のプロンプト処理とは異なる経路でコード実行を制御するものである。推論プロセスそのものに介入することで、従来のプロンプトインジェクション防御を迂回する。

第三段階ではネットワーク隔離の迂回が行われる。タスクスケジューラのURL洗浄（URL laundering）を利用し、直接的なアウトバウンド通信が遮断された環境から間接的に外部と通信する経路を確立する。第四段階では、JFrogの認証レート制限を悪用した隠密的なC2シグナリングチャネルが構築される。認証試行の成功・失敗のパターンをビット列として利用し、正規のAPIトラフィックに紛れてコマンドを送受信するという極めて巧妙な手法である。

最も深刻な発見は、攻撃者のサンドボックスと被害者のサンドボックス間でのクロステナントデータ窃取が実証されたことである。これはマルチテナント環境における隔離の根本的な不備を示唆する。OpenAIはこの発表に対し、「関連する側面は発表前に削除済み」であり、本研究は「ChatGPTのセキュリティサンドボックスからの脱出を示すものではない」と主張した。しかしこの反論は、「サンドボックス脱出」の定義を狭義に限定することで攻撃の深刻性を矮小化している側面がある。クロステナント窃取が可能であった事実そのものが、設計上の構造的欠陥を示している。

DNS隠密窃取とGitHubトークン奪取 ── ネットワーク隔離を迂回する2つの実証攻撃

Black Hatでの大規模な攻撃チェーンとは異なり、Check Point ResearchとBeyondTrust Phantom Labsが2026年2月に公開した研究は、単一の設計判断の欠陥がいかに致命的な攻撃経路となるかを示した。

Check Point Researchが発見したDNS隠密窃取は、コンテナ化されたLinuxランタイムがHTTP/TCPアウトバウンド通信を遮断する一方で、DNS解決を許可しているという設計上の判断を突いたものである。攻撃者は悪意あるプロンプトを通じて、会話データをDNSクエリのサブドメイン部分にエンコードし、攻撃者が制御するドメインのDNSサーバーに送信する。いわゆるDNSトンネリングである。この手法により、ユーザーがアップロードしたPDF、医療記録、プロンプト内容といった機密情報を隠密に窃取できることが実証された。さらにこのチャネルを通じてランタイム環境内部にリモートシェルを確立することも可能であった。OpenAIは2026年2月20日にこの脆弱性を修正し、悪意ある利用の証拠は確認されなかったと発表した。AIツールサプライチェーンの構造的欠陥が複数の経路で顕在化している状況と併せて理解すべき事案である。

BeyondTrust Phantom LabsのTyler Jespersenが発見した脆弱性は、別の攻撃面を露呈した。OpenAI Codexのタスク作成HTTPリクエストにおいて、GitHubブランチ名パラメータを通じたコマンドインジェクションが可能であった。この脆弱性はChatGPTウェブサイト、Codex CLI、Codex SDK、Codex IDE Extensionの全てに影響し、GitHubのUser Access TokenおよびInstallation Access Tokenの窃取を可能にした。これはサンドボックス内部の問題ではなく、サンドボックスとGitHub連携のインターフェース境界における入力検証の不備である。2025年12月16日に報告され、2026年2月5日に修正された。サンドボックスの「内部」を堅牢にしても、外部サービスとの連携ポイントが攻撃面となるという、境界防御の古典的な課題がAIツールにおいても再現されている。

GhostApprovalと信頼引き渡し欠陥 ── サンドボックスの「外側」を攻撃する新パラダイム

2026年7月、Wiz Researchが公開した「GhostApproval」とPillar Securityが発表した「Week of Sandbox Escapes」は、AIコーディングアシスタントのセキュリティモデルに対する認識を根本的に転換させた。サンドボックスを破る必要はない――サンドボックスの外側で信頼されているコンポーネントに対して、サンドボックス内部から影響を及ぼせばよいのである。

GhostApprovalは2026年7月8日にWiz Researchにより公開され、Amazon Q Developer、Anthropic Claude Code、Augment、Cursor、Google Antigravity、Windsurfの6つのツールに影響した。攻撃の核心はシンボリックリンク（CWE-61: UNIX Symbolic Link Following）とUI誤表示（CWE-451: User Interface Misrepresentation of Critical Information）の組み合わせである。エージェントがワークスペース内でファイル書き込みを行う際、シンボリックリンクを介してSSH鍵やシェル設定ファイルといったワークスペース外の機密システムファイルへリダイレクトする。さらに「事前承認書き込み」により、ユーザーが確認ダイアログを目にする前にファイルが変更される。CVE-2026-50549（Cursor、CVSS 9.8）およびCVE-2026-12958（Amazon Q Developer）が割り当てられた。報告は2026年2月10日から27日にかけて行われ、修正は5月から6月にかけて展開された。注目すべきは、Anthropicが当初この脆弱性を「脅威モデルの対象外」として却下したことである。AI開発者を標的としたサプライチェーン攻撃の文脈において、開発環境そのものが攻撃面となっている現状を考慮すれば、この判断の妥当性には疑問が残る。

Pillar Securityの「Week of Sandbox Escapes」は、Cursor、Codex CLI、Gemini CLI、Google Antigravityにまたがる7つの脆弱性を公開した。中核的な知見は、エージェントがサンドボックス内に留まりながら、サンドボックス外の信頼されたコンポーネントが実行するファイルを書き込むという攻撃パターンである。4つの障害モードが特定された。第一に拒否リストの不完全性、第二に信頼された設定ファイルの悪用、第三に引数ベースの許可リスト迂回、第四に特権デーモンへのアクセスである。CVE-2026-48124（Cursor、CVSS 8.5）、GHSA-p9g2-cr55-cw9c、GHSA-v4xv-rqh3-w9mcが割り当てられた。特にDockerソケットの露出はCursor、Codex、Gemini CLIに影響し、コンテナランタイムを介した完全なホスト侵害への経路を開くものであった。

エンタープライズAI IDE統合の防御設計再定義 ── 構造的欠陥への対処フレームワーク

2026年7月22日にCloud Security Alliance（CSA）が公開した包括的分析は、これらの脆弱性群に対する体系的な対処フレームワークを提示した。CSAのフレームワークは3つの時間軸で構成される。即時対応として影響を受けるツールの最新バージョンへの更新、短期対応としてワークスペース設定の監査とDockerソケットアクセスの制限、そして戦略的対応としてサンドボックス外の全ての非サンドボックス化コンポーネントの信頼チェーンの文書化である。

筆者が全国規模WAFサービスの技術主任を務めた経験では、止められないという制約の中でセキュリティ設計を行うことが技術的判断の全てを支配していた。AIコーディングアシスタントのサンドボックス設計にも同様の構造的制約が存在する。コード実行を許可しつつ悪意ある行為を防止するという要件は、WAFにおいて正規トラフィックを通過させつつ攻撃を遮断するという課題と構造的に同型である。そして両者に共通するのは、完全な防御は不可能であるという前提に立った設計哲学の必要性である。

脆弱性診断・ペネトレーションテストの実務を通じて体得したのは、プロトコルやHTTPヘッダ一つの設定ミスが致命的な脆弱性になり得るという事実である。DNS解決を許可するという一見無害な設計判断が、Check Pointの研究で示されたように完全な隠密データ窃取チャネルとなった事実は、この教訓の延長線上にある。エンタープライズがAI IDE統合を進める上で必要なのは、サンドボックスの堅牢性を盲信するのではなく、信頼境界の全体マッピング、ファイル書き込み先の厳格な検証（シンボリックリンク解決後の正規パス検証）、DNS解決を含むあらゆるネットワーク通信の監視、そしてユーザー承認フローの暗号学的保証という多層的アプローチである。

2026年の一連の研究が明らかにしたのは、AIコーディングアシスタントのセキュリティモデルが「サンドボックス内部の隔離」から「信頼チェーン全体の検証」へと再定義されなければならないという事実である。サンドボックスを破らずとも、その外側の信頼されたコンポーネントを操作することで同等の影響を達成できるという攻撃パラダイムは、防御側の思考モデルそのものの刷新を要求している。

FAQ

ChatGPTのCode Interpreterサンドボックスは現在安全なのか

2026年8月時点で既知の脆弱性は修正済みであるが、サンドボックス設計の構造的課題（DNS解決の許可、信頼境界の不明確さ）は本質的に解消されていない。継続的なセキュリティ監視が必要である。

DNS隠密窃取攻撃はどのように防御されたのか

OpenAIは2026年2月20日に修正パッチを適用した。具体的にはDNSクエリの制限強化が行われたとされるが、詳細な技術的対策は公開されていない。悪意ある利用の証拠は確認されなかった。

GhostApprovalはChatGPT固有の脆弱性なのか

GhostApprovalはChatGPT固有ではなく、Cursor、Claude Code、Amazon Q Developer、Windsurf等6つのAIコーディングツールに影響した。シンボリックリンクと承認UIの構造的欠陥であり、業界横断的な問題である。

企業がAIコーディングアシスタントを利用する際の最低限の対策は何か

CSAフレームワークに基づき、ツールの即時更新、Dockerソケットアクセスの制限、ワークスペース外へのファイル書き込み監視、信頼チェーンの文書化を実施すべきである。

Reasoning Injection Attackとは従来のプロンプトインジェクションと何が異なるのか

従来のプロンプトインジェクションがLLMの入力層を標的とするのに対し、Reasoning Injection Attackは内部の推論チャネル（python.exec）を乗っ取る。防御側の検知機構を迂回しやすい点で質的に異なる脅威である。

OpenAIのバグバウンティプログラムはサンドボックス脆弱性をカバーしているのか

OpenAIはサンドボックス内部へのアクセス自体を報奨対象外とし、コンテナ外部への真の「脱出」のみを対象としている。この定義の狭さが、構造的欠陥の報告・修正を遅らせる一因となっている。

参考文献