チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「AIが統合されたIDEを使ってコードを書いてるけど、そのIDEが攻撃の踏み台になるって意味が分からない…」
「悪意あるプロジェクトを開いただけでデータが盗まれるって、どういう仕組みなの？」
チップスボス、Amazonの新しいAI IDE「Kiro」にプロンプトインジェクション脆弱性が見つかって、機密データが外部に流出する可能性があるみたいでしゅ。
ボスMindguardの研究者が公開した内容だな。悪意あるリポジトリを開いてエージェントに話しかけるだけで、ローカルの機密情報が外部エンドポイントへ送信されるという攻撃だ。Kiro特有の「Kiro Powers」機能がその経路になっている。現在は修正済みだが、古いバージョンを使っている開発者は要注意だ。
Mindguardの研究者Fergal Glynn氏が、AmazonのAI搭載IDE「Kiro」に存在するプロンプトインジェクション脆弱性の詳細を公開しました。
Kiro IDE 0.7.45（Windows版）が対象で、攻撃者が用意した悪意あるリポジトリを開いてエージェントと対話するだけで、ローカルの機密情報が外部サーバーへ送信される可能性があります。
Amazonはバージョン0.8.140でこの問題を修正しており、現在の最新版は1.0.337です。
・Amazon Kiro IDE 0.7.45（Windows版）にプロンプトインジェクション脆弱性——悪意あるリポジトリを「File → Open Workspace From File」で開きエージェントと対話するだけでデータ流出
・攻撃経路はKiro特有の「Kiro Powers」機能——POWER.mdというステアリングファイルがMCPツール設定と組み合わさり信頼境界を破る
・バージョン0.8.140で修正済み（現在の最新は1.0.337）——今年6月には別のコマンド実行脆弱性CVE-2026-10591（CVSS 8.8）も修正されている
この脆弱性を理解することで、AIエージェント統合IDEにおけるプロンプトインジェクションリスクを正しく評価できます。
オススメ求人・フリーランス案件
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
Amazon KiroはAIエージェントが統合されたIDE（統合開発環境）で、AIに指示するだけでコード生成・修正・リファクタリングが行えます。
開発者の生産性を高める一方で、AIエージェントが「リポジトリ内のコンテンツを読む」という設計が新たな攻撃面を生み出しています。
今回の脆弱性の攻撃フローは以下の通りです。
ユーザーが不審な操作をしなくても、普段どおり開発ツールを使うだけで攻撃が完結するのが特徴です。
攻撃の核心にある「Kiro Powers」は、Model Context Protocol（MCP）の設定・「POWER.md」というステアリングファイル・フック・コンテキスト知識をバンドルした拡張機能です。
POWER.mdは「オンボーディングマニュアル」として機能し、利用可能なMCPツールに関する永続的なコンテキストをKiroエージェントに提供します。
このステアリングファイルが攻撃者によって改ざんされると、エージェントは正当な操作として機密情報を外部へ送信する指示に従ってしまいます。
根本原因となる信頼境界の欠落は以下の構造から生じています。
ボスAIエージェントは「指示を理解して実行する」ことを目的に設計されているから、悪意ある指示と正当な指示の区別が難しい。リポジトリ内のコンテンツを信頼して読む設計は、外部入力を信頼してしまうリスクと裏表だ。
チップスじゃあ、知らないプロジェクトをKiroで開くだけで危ないんでしゅか？
ボスファイルを普通に開くだけではなく、「Workspace From File」という特定の手順が必要だ。だが、GitHubやnpmのサンプルコードを試しに動かすような開発者は普通にその操作をする。
出典: The Hacker News — Amazon Kiro Prompt Injection Can Silently Exfiltrate Sensitive Data
Kiro IDEは修正版（0.8.140以降）を提供しており、今年6月には別のコマンド実行脆弱性CVE-2026-10591（CVSS 8.8）も修正されています。
AI IDE全般として、AIエージェントが外部入力（リポジトリコンテンツ）を処理する際の信頼境界管理が重要な課題になっています。
Kiro利用者が今すぐ実施すべき対応は以下の通りです。
ボス今後もAIエージェントが統合されたツールでこのような攻撃は増える。「便利なツール」として無意識に使うのではなく、信頼できるコンテンツしか入力しないというゼロトラスト的な意識が開発者にも必要だ。
チップス外部のリポジトリを試してみる前に、AI機能をオフにするとかできるといいんでしゅよね！
オススメ求人・フリーランス案件
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
【グローバル製造業向けSASE導入PMO・設計構築】高輪（リモート併用）／Prisma Access・海外拠点展開
【ゼロトラスト基盤構築・VPN廃止移行推進】フルリモート／Zscaler ZPA・マイクロセグメンテーション
【公共系閉域網環境SplunkES統合・構築】東京・豊洲（常駐）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
