Snowflake事例に見るAIリスク：GitHub Copilot由来のCI/CD脆弱性とWiz Red Agentによる自律型攻撃実証

データプラットフォーム大手Snowflake社の公開GitHubリポジトリにおいて、AIコーディング支援機能（GitHub Copilot Autofix）が関与したコード変更により、重大なCI/CD脆弱性（スクリプトインジェクション）が発生していた事例が公表されました。
この脆弱性は本番化からわずか5日後に、クラウドセキュリティ企業Wizの自律型AIセキュリティツール「Red Agent」によって、人間の介在なしに自動検知・検証（PoC）されました。
生成AIによる開発アクセラレーションが普及する一方、「AI支援による安全なコードの破棄・脆弱性の混入」と「AIエージェントによる超高速な攻撃探索」という両面のリスクが同時に顕在化した先進的な脅威事例です。
内容を見てみましょう。

• AIコーディング支援ツールによる安全な構造の破棄と脆弱性の生成
  GitHub Copilot Autofixが共同作成者（co-author）として記録されたプルリクエスト（#1218）において、従来実装されていた安全な環境変数エスケープ処理（env: ＋ jq）が削除され、Shellスクリプト内での危険な直接文字列展開（${{ github.event.issue.title }}）へ置換されました。
  GitHub側のAIコードレビュー機能もこの悪化を見落としてマージされ、Issueタイトルを介した任意コマンド実行（RCE）が可能となりました。
• 不完全なセキュリティ判定（ガードレール）の無効化
  該当のGitHub Actionsワークフローには一見防護用と思われる条件文（if:）が設定されていましたが、issuesイベント発生時にはpull_requestオブジェクトが常にnullとなる仕様だったため判定文が形骸化しており、外部の未認証ユーザー全員がチェックを通過できる状態でした。
• 自律型AIエージェントによる自動エラー解析と検証成功
  Wiz社の「Red Agent」は脆弱性を自動発見しただけでなく、初期の攻撃試行で発生したBash構文エラーのログを自律的に解析しました。
  エージェント自身でペイロード（エスケープ構造）を修正・最適化して再実行することで、検証用資格情報の取得（out-of-band callback）に成功しました。
• 内部重要システム（Jira）へのアクセス権限と影響範囲
  GitHub Actionsのランナー環境からJIRA_API_TOKENが流出しました。
  このトークンはqa@snowflake.netに紐づくもので、Snowflake内部のJiraポータル（エンジニアリング、コンプライアンス、バグバウンティ管理等のプロジェクト）に対する閲覧権限（Read access）を有していました。
• 迅速な責任ある開示と即日修復
  Wiz社より2026年6月23日にHackerOne経由で報告が行われ、Snowflake社は同日中に脆弱なワークフローを修復（安全なjqパターンの復元）し、該当トークンのローテーションを完了させました。
  監査ログの追跡により、露出期間中に悪意ある第三者によるアクセスがなかったことも確認されています。

この事例は、「生成AIが誤って既存の安全なコード構造を壊し脆弱性を埋め込むリスク」と「自律型AIエージェントが人間よりも素早く攻撃手法を見つけ出すリスク」が同時に発生した、新しい時代のサイバー脅威を示しています。
組織はAI生成・支援コードであっても人間やSASTによる厳格なレビューを省略してはならず、CI/CDパイプラインにおけるセキュアな構造保護やトークンの最小権限・短寿命化を徹底することが極めて重要です。

Wiz Red Agent Finds Its Way Into Snowflake’s Internal Jira Through a Flaw in a GitHub Copilot–Assisted PR
https://www.wiz.io/blog/red-agent-snowflake-copilot-cicd-bug