Shiori Demo

Appearance

AIエージェントによる「シークレット漏洩」とインフラによる自動検知（ガードレール）設計 ​

1. 概要 ​

自律型AIエージェントが開発やデプロイを自律実行する際、最も重大なセキュリティリスクの一つが「APIキー、秘密鍵、アクセストークンなどのシークレット情報（Credentials）の漏洩」である。 Claude Code（anthropics/claude-code#29910）や OpenCode（anomalyco/opencode#11166）で議論・報告されたインシデントは、AIが「動かすこと」を優先するあまり、ソースコードへのシークレットのハードコードや、ログ出力への機密情報のダンプを悪気なく引き起こし、リポジトリやパブリックなコメントを通じて機密を全世界に公開してしまう脆弱性を示している。 本稿では、AIエージェントによるシークレット漏洩の発生シナリオと、インフラ層に必要なガードレール設計について分析する。

2. インシデントの分析：AIエージェントによる2大シークレット漏洩シナリオ ​

2.1. シナリオ 1: ソースコードへの「ハードコード」と自動コミット ​

AIエージェントがプログラムを動かすために、デバッグや環境設定の過程で一時的にAPIキーをコード内に直接記述することがある。

javascript
// AIがデバッグのために一時的に記述したコード
const OPENAI_API_KEY = "sk-proj-Q1w2e3r4t5y6u7i8o9p0...";

AIエージェントはコードの動作確認が取れると、「タスク完了」としてその変更をGitにコミット（git commit -a）し、リモートリポジトリにプッシュする。

  • 問題点: AIは「シークレット情報をパブリックリポジトリに公開してはならない」という機密保護の重要性を、人間のエンジニアのように直感的に意識できない。そのため、一時的なハードコード変更を悪気なく Git の歴史に刻み込み、GitHub等の共有リポジトリにプッシュして瞬時にキーを流出させる（claude-code#29910）。

2.2. シナリオ 2: デバッグログやPRコメントへの「環境変数ダンプ」による漏洩 ​

開発中のトラブルシューティングにおいて、AIエージェントは「何が起きているか」を把握するため、環境変数をダンプするコマンド（env や printenv、または設定JSONのキャット）を頻繁に実行する。

  • 問題点: 自動実行されたCI（GitHub Actions）やPR生成ツールが、これらのコマンド出力をそのままPRの公開コメントやパブリックなビルドログに出力してしまう。結果として、ZHIPU_API_KEY や GITHUB_TOKEN などの機密キーが、公開されたウェブページ上に生のテキストとしてそのまま漏洩する（opencode#11166）。

3. インフラ層に求められる「セキュリティ・ガードレール」 ​

AIの賢さ（プロンプトでの「APIキーをコミットしないでください」という指示）に頼る対策は、高負荷時や例外発生時のAIのパニックによって容易に突破される。 システム側には、AIのミスを構造的に無効化する以下の「セキュリティ・ガードレール（Guardrails）」の設計が必要である。

3.1. コミット前スキャナー (Pre-commit Secret Scanner) ​

AIが git commit を実行する手前のレイヤー（Gitの pre-commit フック等）において、コミット対象の差分（Diff）に対して静的解析（正規表現スキャン）を強制する（claude-code#29910 の提案）。

  • api_key や password、特定の長さとハッシュパターンを持つ文字列（例：sk-[a-zA-Z0-9]{48}）がソースコード内に直書きされていることを検知した場合、コミット処理をシステムレベルで強制拒否（Abort）する。
  • エージェントに対し「ハードコードされたシークレットを検知したためコミットをブロックした。.env ファイルに移行し、それを .gitignore に追加せよ」とエラーを返すことで、流出を未然に防ぐ。

3.2. ログ出力の自動伏字化 (Masking / Sanitization) ​

エージェントが実行したツール出力（Stdout / Stderr）や、PRコメントに書き出すテキストを、仲介プロキシ（MCPサーバーやCIランナー）のレイヤーで常時監視し、機密情報をマスキング（*** に置換）する。

  • システムに読み込まれている環境変数の「値」のリストをブラックリストとして保持し、ツール出力の中にその「生の値」と一致する文字列が出現した場合は、自動的に伏字に置換した上でAIや公開ログに提示する。

3.3. 究極の防御：短期トークン（Short-lived Token）のみの注入設計 ​

プロンプトによる指示や機械的なスキャナーといった「漏洩そのものを防ぐガードレール」を設けたとしても、巧妙に難読化されたシークレットや、予測不可能な出力形式による漏洩を100%防ぐことは困難である。

これに対する最も堅牢なアーキテクチャは、**「漏洩したとしても、即座に無効化される短期トークン以外、コンテナに一切注入しない」**という設計である。

mcp-launcher と sunaba の協調システムは、このフェイルセーフを徹底している。

  • コンテナ内のAIエージェントに、永続的な GitHub PAT（Personal Access Token）やマスターの API キーを直接渡すことは決してない。
  • VCS操作やビルド時に必要なトークンは、ホスト側のセキュアなキーストアを中継し、mcp-launcher がその場で動的にミント（発行）した 「有効期限が極めて短い（例：10分〜1時間）短期トークン」 のみである。
  • Vaultによる生キーの完全隠蔽: マスターの資格情報（秘密鍵等）はすべてセキュアな暗号化キーストア（Vault や OS の Keyring 等）に暗号化されて保管されており、ホストPC的ファイルシステムや環境変数の中にも、生の資格情報は一切平文で露出していない。そのため、AIがホスト側で printenv を実行したりファイルを探索しようとも、**「そもそもホスト側にも生キーが存在しないため、盗み出しようがない」**という完全な隔離を実現している。
  • 万が一、AIエージェントがこの短期トークンをコード内にハードコードしてコミット・プッシュし、世界中に流出させてしまったとしても、そのトークンは数分後に自動的に「期限切れ（Expired）」となり完全無効化される。

漏洩後の「消火活動」を頑張るのではなく、漏洩した燃料自体が「一瞬で燃え尽きて無害化する」ようにしておく。さらに、その点火元（生キー）は Vault の中に完全に隔離して誰の目（ホスト/AI）にも触れさせない。この多層防御こそが、AIに権限を委ねる上での究極のセキュリティデザインである。

4. 結論 ​

自律型AIエージェントは、機能の実現（タスクの成功）に盲進する特性を持つため、シークレット情報の「うっかりコミット」や「ログダンプ」を本質的に防ぐことはできない。 このセキュリティの限界に対し、システム側が 「Gitコミット前のシークレットスキャナー」 や 「ログ出力の自動伏字化プロキシ」 という機械的なガードレールをインフラ層に敷くことこそが、AIに安全に全自動開発を委ね、組織の認証情報とインフラを壊滅的なリークから守るための不可欠な設計要件である。

5. 参考文献 / 一次情報 ​

Shiori pointer-RAG automation experiment.

Copyright © 2026 masuda-masuo