チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「AIエージェントってプロンプトだけで攻撃されるんでしゅか？」
「Semantic Kernelを使ってる業務システム、大丈夫？」
チップスボス、Semantic Kernelってマイクロソフトの公式フレームワークでしゅよね？それでもRCEが出るんでしゅか？
ボスそうだ。CVE-2026-26030と25592、プロンプト1発で電卓が起動するレベルの本格的なRCEが2件出たんだ。AIエージェントを業務に組み込んでいる企業は要注意だな。
2026年5月7日、Microsoftが自社のAIエージェント開発基盤「Semantic Kernel」に複数の重大脆弱性が存在することを公表しました。
本記事では、CVE-2026-26030と25592の手口、影響範囲、必要な修正対応をAIエージェント開発者・利用者の視点で解説します。
このまま読み進めれば、AIエージェントが「プロンプト1発でホスト乗っ取り」される具体的な経路と、防御の優先順位が分かります。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
今回の脆弱性は、AIエージェントの「ツール呼び出し」を悪用してホスト権限を奪う、新しい型の攻撃面を示しました。
CVE-2026-26030は、デフォルト設定のIn-Memory Vector Storeで使われるフィルタ関数に潜む、安全でない文字列補間とeval呼び出しに起因します。
攻撃者がプロンプトインジェクションを成功させると、AST-traversalペイロードがブロックリストを回避し、計算機（calc.exe）レベルの任意コード実行が「単一プロンプトで成立」する深刻度の高さが報告されています。
主要事実をまとめると以下のとおりです。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-26030 |
| 影響範囲 | Python版 semantic-kernel < 1.39.4 |
| 条件 | In-Memory Vector Storeのデフォルト設定＋プロンプト注入 |
| 影響 | ホスト上で任意コード実行 |
チップス1つのプロンプトで電卓が起動するなんて……AIエージェントに何を入れても危ないでしゅ！
CVE-2026-25592は、SessionsPythonPluginのDownloadFileAsyncが [KernelFunction] 属性で公開され、ファイルパスの検証なしにAIモデルから操作可能だった点が原因です。
攻撃者は悪意あるスクリプトをWindowsのスタートアップフォルダーに書き込ませ、次回ログイン時にホスト全体を掌握することが可能になります。
影響範囲は.NET版 Semantic Kernel 1.71.0未満で、修正版への更新が必須です。
2件の脆弱性は、AIエージェント特有の「ツール呼び出し」設計上の落とし穴を示しています。
攻撃の核心は、AIエージェントが信頼するツール群を、プロンプト経由で意図しない順序・意図しない入力で呼ばせる点にあります。
ExecuteCodeで悪意あるスクリプトを生成→DownloadFileAsyncで危険な場所に書き込み、という連鎖で本来のサンドボックスを越えてしまうのです。
典型的な悪用ステップは以下のとおりです。
Microsoftは複数の対策を提示しており、修正パッチ適用に加えて、AIエージェント設計面の見直しが推奨されています。
自社でSemantic Kernelを使う日本企業の優先対応は以下のとおりです。
チップスパッチを当てるだけじゃ足りないんでしゅね……
ボスその通りだ。AIエージェントに「何でも呼べるツール」を持たせると、プロンプト1発でシェルになる。設計時から最小権限で組むのが鉄則だな。
Semantic KernelのCVE-2026-26030／25592は、プロンプトインジェクションが従来の「コンテンツ汚染」を越え、コード実行へとつながる現実を示しました。
AIエージェントを業務に組み込む日本企業は、修正版への更新と並行して、ツール公開範囲・ファイル操作権限の最小化を再点検する必要があります。
パッチ適用、KernelFunction属性の見直し、パス検証、エージェントプロセス監視の4本柱で、今すぐ防御を固めましょう。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
