Amazon Kiroでプロンプトインジェクションによるデータ窃取 — Kiro Powersの信頼境界を突破、Mindgardが報告し0.8.140で修正

AmazonのAI駆動統合開発環境（IDE）「Kiro」で、攻撃者が用意したリポジトリの内容がエージェントへの指示として解釈され、利用者の機密データが外部へ送信される脆弱性が明らかになった。AIセキュリティを研究するMindgardのセキュリティ研究者Fergal Glynn氏が報告し、The Hacker Newsが2026年8月27日に伝えた。AmazonはKiro IDEバージョン0.8.140で修正を実装した。

何が報告されたか

Mindgardによると、脆弱性はKiro IDE 0.7.45（Windows）で再現する。CVE識別子は付与されていない。最新版は1.0.337だが、問題のバージョンでは、攻撃者が制御するリポジトリ内容がKiroエージェントに影響を与え、機密のローカル情報が外部エンドポイントへ送信される。

Kiro Powersは、Model Context Protocol（MCP）サーバーの設定やステアリングファイル「POWER.md」、フック、コンテキスト知識を束ねる機能だ。ステアリングファイルはエージェントに永続的なコンテキストと利用可能なMCPツールを与える「オンボーディングマニュアル」の役割を果たす。今回の脆弱性は、この仕組みが攻撃者に悪用された。

Mindgardは、攻撃の成立には2つの利用者操作が必要だと説明している。利用者が細工されたプロジェクトをフォルダーを直接開くのではなく、ワークスペースファイルを介して「File → Open Workspace From File」で開くこと、次にエージェントにメッセージを送信することだ。2つの条件が満たされると、利用者が明示的にKiroへアクセスや送信を要求しなくても、機密のワークスペースデータが攻撃者へ流出する。脆弱性は信頼されたワークスペースと信頼されていないワークスペースのいずれでも再現し、悪用難易度は低いと評価されている。

特筆すべき点として、利用者は悪意あるプロンプトを送信したり、攻撃者が制御するコンテンツを参照したりする必要がない。細工されたワークスペースファイルを開いた後、任意のメッセージを送るだけで脆弱なフローが起動する。

なぜ起きたか — 信頼境界の連鎖的な失敗

Mindgardは、脆弱性が現れる条件を「攻撃者が制御するプロジェクト内容が指示として解釈され、その指示がIDE内のセキュリティに関わる操作へ影響を与える場合」と説明している。信頼境界の失敗は一連の流れ全体で発生する。リポジトリが制御するコンテンツがエージェントに影響し、エージェントが機密のローカル情報を読み取り、その情報をセキュリティに関連するIDE設定へ書き込み、続くIDEの機能が変更された設定をネットワーク通信へ変換する。

AI開発環境では、リポジトリのファイルがモデルへのコンテキスト提供に使われる一方、エージェントがファイル読み取りやツール呼び出し、アプリケーション機能の有効化を行える。Mindgardは、解釈と実行が同一ワークフロー内で一体化するにつれ、信頼境界の失敗が起きやすくなると指摘している。

修正とこれまでの経緯

Mindgardの責任ある開示を受け、AmazonはKiro IDEバージョン0.8.140で修正を実装した。Kiroの変更履歴（changelog）では継続的にIDEの更新が公開されている。

今回の脆弱性は、Mindgardが以前に指摘した別の問題とも関連する。ステアリングファイルの指示によってローカル情報をMarkdown画像リクエストに組み込み、外部サーバーへ送信させる手口だ。Mindgardは当時「ステアリングファイルを細工してローカルファイルを読み取り、Markdown画像として描画させることで、攻撃者がAIに機密データを外部へ送信させられる」と説明していた。

Kiroでは2026年6月にも、別の脆弱性が修正されている。不十分なアクセス制御の欠陥（CVE-2026-10591、CVSS 8.8）で、細工された指示によって「.vscode/tasks.json」や「~/.kiro/settings/mcp.json」など実行に影響するパスへの書き込みを誘発し、フォルダーを開いた際の自動実行につなげるものだった。Intezerは「攻撃者がKiroが読み取るウェブページに隠し指示を植え付け、Kiro自身のMCPサーバー設定ファイルを書き換えて開発者のマシンで任意のコード実行を得られる。利用者に不審な承認プロンプトは表示されない」と説明していた。

AIツール全体に広がる類似の課題

The Hacker Newsが併せて伝えたところによると、Kiro以外でもAIツールで類似のプロンプトインジェクションや権限境界の問題が相次いで報告されている。OpenAI Codex CLI for Windowsでのweb.runを悪用したサンドボックス外でのコマンド実行、Cursor CLIでの間接的なプロンプトインジェクションによる実行ファイルの書き込みと実行、CursorやGitHub Copilot CLI、Google Gemini CLI、Codex app for Windowsでの検索順序ハイジャックによる任意のバイナリ実行などが例として挙げられている。

Mindgardは「Kiroの発見は、単一のIDEや単一の開示プログラムを超えた問題を露呈している。AIの脆弱性はモデルの解釈、アプリケーションロジック、ツール、設定、外部リソースの相互作用から生じるため、従来のソフトウェア欠陥を想定した開示プロセスでは評価が難しい」と述べている。同社は、AIシステムがより多くのツールを持ち、より多くのアプリケーション状態と相互作用するにつれ、脆弱性開示プログラムは研究者が発見するのと同等の詳細さで実行パスを評価する必要があると指摘している。

影響と確認されている対策

Kiroを開発で利用する組織や開発者は、利用中のバージョンを確認し、修正版への更新を検討する必要がある。MindgardとAmazonが公表している内容によれば、Kiro IDE 0.8.140で修正が実装されている。Kiroの公式changelogでは最新の修正内容が案内されている。ワークスペースを外部から取得する場合は、出所が不明なワークスペースファイルの取り扱いに注意し、信頼できないリポジトリを安易に開かないことが重要だ。

出典:

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。