AI Copilot生成コードでSnowflakeのJiraが侵害
원제: AI-Generated GitHub Copilot “Autofix” Allowed Compromise of Snowflake's Jira
왜 중요한가
AIコーディングエージェントが導入した脆弱性をAIセキュリティエージェントが発見するという新たなセキュリティリスクの実例として、開発現場でのAI利用に伴うリスク管理の重要性を示す。
Wiz Researchの自律型AIセキュリティツール「Red Agent」は2026年6月23日、SnowflakeのGitHubリポジトリ「snowflake-connector-net」にGitHub Actionsのスクリプトインジェクション脆弱性を発見した。この脆弱性はGitHub Copilot Autofixが共著したPR #1218のマージ（6月18日）から5日後に発見され、同日中にSnowflakeが修正した。
WizのRed Agentは、HackerOneを通じたSnowflakeとの脆弱性開示プログラムの一環として、snowflakedb/snowflake-connector-netリポジトリのGitHub Actionsワークフロー「jira_issue.yml」に致命的な脆弱性を発見した。
問題の根本は、2026年6月18日にマージされたPR #1218（コミット4a1b8ce）にある。このPRは「SNOW-2069227: Update jira workflows」という名目で、「Copilot Autofix powered by AI」を共著者としてクレジットしている。変更内容は、安全な`env:`変数経由でissueタイトルを処理していた既存パターンを、`${{ github.event.issue.title }}`を直接シェルスクリプトに展開する方式に置き換えるものだった。
この変更により、`issues: opened`イベントで起動するワークフローにシングルクォートを含む細工されたissueタイトルを投稿するだけで、任意のコマンドをGitHub Actionsランナー上で実行できる状態になった。sedによるエスケープ処理はGitHubのテンプレート展開後に実行されるため、回避が可能だった。
Red Agentはこの脆弱性を5日後に自律的に発見・悪用し、Snowflakeの内部Jiraポータルへのアクセスに成功。トークンの流出を実証した。GitHub CopilotはマージされたPRをレビューしたが、この重大な脆弱性を検出しなかった。
Wizによる責任ある開示を受け、Snowflakeは2026年6月23日当日中に脆弱性を修正し、影響を受けた認証情報をローテーション。詳細な監査ログによりWiz以外のアクセスがなかったことを確認した。Wizも検証中にアクセスしたデータを安全に削除したと報告している。