AI生成コードがSnowflakeのJiraへの侵入を招く
原題: AI-Generated GitHub Copilot “Autofix” Allowed Compromise of Snowflake's Jira
なぜ重要か
AIコーディングエージェントが生成・承認したコードが重大な脆弱性を招く事例として、AI支援開発のセキュリティレビュー体制の見直しを業界全体に迫る重要な警鐘となる。
セキュリティ企業Wizは2026年8月17日、自社の自律型AIセキュリティツール「Red Agent」がSnowflakeの内部Jiraへのアクセスに成功したと公表した。原因はGitHub Copilot Autofixが生成したコードに含まれるGitHub Actionsのスクリプトインジェクション脆弱性で、脆弱性が導入されてからわずか5日後に発見・悪用された。Snowflakeは同日中に修正し、認証情報をローテーションした。
WizのResearchチームが運営する自律型AIセキュリティ研究ツール「Red Agent」は、SnowflakeのHackerOne脆弱性開示プログラムの一環として調査を実施中、Snowflakeの公開リポジトリ「snowflakedb/snowflake-connector-net」に深刻なGitHub Actionsワークフローの脆弱性を発見した。
問題の脆弱性は2026年6月18日にマージされたPR #1218（「SNOW-2069227: Update jira workflows」）によって導入された。このコミットは「Copilot Autofix powered by AI」を共同著者として記録しており、AIが生成または審査したコード変更であることが示されている。
具体的には、同PRがリポジトリ内で安全に使用されていた「env:」変数経由でのissueタイトル受け渡しパターンを削除し、代わりにGitHubテンプレート式「${{ github.event.issue.title }}」をシェルスクリプト内に直接展開する危険なパターンへ置き換えた。sedによるエスケープ処理はGitHubのテンプレート展開後に実行されるため、issueタイトルにシングルクォートを含めるだけでechoコマンドを脱出し、任意のコマンド実行が可能となる。
このワークフローは「issues: opened」イベントで起動するため、認証されていない任意のGitHubユーザーが悪意ある内容のissueを開くだけで攻撃を実行できる状態にあった。GitHub自身のAIによるセキュリティレビューはこの重大脆弱性を検出しなかった。
Wiz Red Agentはこの脆弱性を6月23日に発見し、Snowflakeの内部Jiraポータルへのアクセスを実証するトークンを外部流出させる形で悪用を確認した。Wizは同日中にSnowflakeへ責任ある開示を行い、Snowflakeは即日修正・認証情報のローテーションを完了。詳細な監査ログにより、公開期間中に実際にアクセスしたのはWizのみであることが確認された。Wizも概念実証中にアクセスしたデータをすべて削除したと明言している。