GitHubのオープンソースAIエージェント、Androidアプリの脆弱性を24件発見

GitHubのセキュリティ研究チームGitHub Security Labは現地時間9月28日、オープンソースのAIエージェントとAndroidアプリ向けに作った監査手順を使い、Androidアプリの脆弱性を24件見つけて報告したと公式ブログで明らかにしました。位置情報の抜き取りやアカウント乗っ取りにつながる重大なものも含まれます。手順は公開されており、自社のアプリのリポジトリにそのまま実行できます。

何が発表されたか

使われたのは、GitHub Security Labが2026年1月に公開した「GitHub Security Lab Taskflow Agent」です。これは、AIへの指示と作業の手順（タスクフロー）をYAMLで書き、共有して自動で実行するための枠組みです。MCP（AIが外部のツールを使うための共通規格）に対応し、MITライセンスで公開されています。

今回、研究者のKevin Stubbings氏はAndroid向けに手順を2つ足しました。1つは、攻撃者が送り込んだデータが入ってくる場所（入口）を、モバイルアプリの入口とそれ以外に分ける手順です。もう1つは、入口ごとに確認すべき脆弱性の種類を一覧で渡す手順です。たとえばIntent（Androidでアプリの部品どうしが動作を頼むためのメッセージ）を受け取る入口なら、権限を持つアプリが他者に悪用される「confused deputy」や、安全でないブロードキャストを必ず調べさせます。

24件の多くはパストラバーサル（ファイルの場所を操作して想定外のファイルを読み書きする攻撃）のような単純なもので、重大なものは数件でした。見つかった場所は、WebView（アプリ内でWebページを表示する部品）でのスクリプト実行など、専門家が予想する場所に集まったとしています。

見つかった脆弱性の例

1つ目は、1,000万ダウンロードを超える地図アプリOsmAndです。外部から呼び出せる画面が、設定の取り込みに使う追加データを誰からでも受け取っていました。このため、権限を持たない別のアプリが、利用者に気づかれずに設定を書き換えられました。地図画像の取得先を攻撃者のサーバーに変えれば、利用者が見た地点の座標や、経路の出発地と目的地が送られてしまいます。

2つ目はWikipediaのAndroidアプリです。wikipedia://で始まるリンクの行き先を「末尾がwikipedia.orgか」だけで判定していたため、evil-wikipedia.orgのような偽サイトを開けました。Cookieを渡す判定にも同じ誤りがあり、2つを組み合わせると、Wikimediaの全プロジェクトで使えるログイン情報を抜き取れたといいます。

自社のアプリで試すには

手順は公開リポジトリ「seclab-taskflows」にあります。ブログが案内する使い方は、リポジトリからCodespace（GitHubのクラウド開発環境）を起動し、対象のリポジトリ名を渡して監査スクリプトを実行するだけです。中規模のリポジトリで1〜2時間かかり、結果はSQLiteのデータベースにまとまります。脆弱性の可能性が高い行には印が付きます。

公式ドキュメントseclab-taskflows（監査用のタスクフロー集）GitHub Security Lab · github.com

ブログはスクリプト名をrun_mobile.shとしていますが、10月1日時点のリポジトリにあるのはrun_audit.shです。READMEでは、こちらがAndroidやiOSのアプリも見分けて調べると説明しています。モバイル向けの手順にはDockerが必要です。既定ではGitHub CopilotのAPIを使いますが、環境変数で別のAI APIにも切り替えられます。

論点

ブログは限界も率直に書いています。AIは現実にはまず起きない条件の問題や、深刻度の低い問題まで報告し、深刻度の見積もりもよく外します。保存場所の優先順位のような込み入った動きを読み違え、誤検知も出ます。

一方で、AIは各言語のAPIの安全な使い方と危ない使い方をよく知っており、作らせた攻撃の検証コードはほとんど手直し不要だったとしています。Web向けの監査手順では、3月の時点で80件以上の脆弱性を報告しています。AIで防御側の作業を広げる動きは各社に共通で、Googleも新モデルをまずサイバー防御の組織に提供しています。

日本のビジネスへの影響

手順はMITライセンスで公開され、日本からも使えます。ただしGitHub Copilotの契約が必要で、上位モデルの利用枠を消費します。道具の呼び出しが多く、トークンを大量に使う点もブログが注意しています。

関係が深いのは、スマホアプリを自社で開発する、または外注している事業会社の開発責任者とセキュリティ担当です。まずは自社のAndroidアプリのリポジトリを1つ選び、検証用に監査を1回実行して、印が付いた行をエンジニアが確かめるのが現実的な一手です。外部から呼び出せる画面が受け取る追加データと、リンク先のドメインを「末尾一致」で判定している箇所は、AIを使わなくても今日から点検できます。

注意点は3つです。ソースコードをAIのAPIに送るため、社内規程と委託契約で許されているかを先に確かめてください。他社のオープンソースで見つけた問題は、公開する前に開発元へ非公開で報告するのが作法です。誤検知もあるため、結果をそのまま修正指示にせず、人が再現を確認してください。Copilotのプランと料金は「コーディングAIのおすすめと料金比較」で比べられます。