Claude、Gemini、Copilot の3つのAIコーディングエージェントが同じプロンプト注入で API キーを漏洩 — Johns Hopkins の研究者が発見

Aonan Guan（Johns Hopkins University の研究者）が、GitHub のプルリクエストのタイトルに悪意のある指示を仕込むだけで、Anthropic の Claude Code Security Review、Google の Gemini CLI Action、Microsoft の GitHub Copilot Agent から API キー（システムに接続するための認証情報）を盗める脆弱性を発見した。外部のインフラストラクチャは不要。

GitHub Actions の pull_request_target という機能（ほとんどの AI エージェント統合が秘密情報にアクセスするために使う）が、プルリクエストのコメント欄に秘密情報を自動的に埋め込んでしまい、攻撃者がそれを抽出できる仕組みになっている。通常のプルリクエスト機能では保護されているが、より高い権限を持つ pull_request_target では露出する。

開発チーム内で AI コーディング支援ツール（Claude や Copilot）を使っている企業は、プルリクエストのコメント欄を通じて API キーが盗まれるリスクに晒されている。盗まれたキーを使えば、攻撃者は組織のコード、API、プライベートデータに無制限にアクセス可能になる。