チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「AIエージェントってプロンプトだけで攻撃されるんでしゅか？」
「Semantic Kernelを使ってる業務システム、大丈夫？」
チップスボス、Semantic Kernelってマイクロソフトの公式フレームワークでしゅよね？それでもRCEが出るんでしゅか？
ボスそうだ。CVE-2026-26030と25592、プロンプト1発で電卓が起動するレベルの本格的なRCEが2件出たんだ。AIエージェントを業務に組み込んでいる企業は要注意だな。
2026年5月7日、Microsoftが自社のAIエージェント開発基盤「Semantic Kernel」に複数の重大脆弱性が存在することを公表しました。
本記事では、CVE-2026-26030と25592の手口、影響範囲、必要な修正対応をAIエージェント開発者・利用者の視点で解説します。
このまま読み進めれば、AIエージェントが「プロンプト1発でホスト乗っ取り」される具体的な経路と、防御の優先順位が分かります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
今回の脆弱性は、AIエージェントの「ツール呼び出し」を悪用してホスト権限を奪う、新しい型の攻撃面を示しました。
CVE-2026-26030は、デフォルト設定のIn-Memory Vector Storeで使われるフィルタ関数に潜む、安全でない文字列補間とeval呼び出しに起因します。
攻撃者がプロンプトインジェクションを成功させると、AST-traversalペイロードがブロックリストを回避し、計算機（calc.exe）レベルの任意コード実行が「単一プロンプトで成立」する深刻度の高さが報告されています。
主要事実をまとめると以下のとおりです。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-26030 |
| 影響範囲 | Python版 semantic-kernel < 1.39.4 |
| 条件 | In-Memory Vector Storeのデフォルト設定＋プロンプト注入 |
| 影響 | ホスト上で任意コード実行 |
チップス1つのプロンプトで電卓が起動するなんて……AIエージェントに何を入れても危ないでしゅ！
CVE-2026-25592は、SessionsPythonPluginのDownloadFileAsyncが [KernelFunction] 属性で公開され、ファイルパスの検証なしにAIモデルから操作可能だった点が原因です。
攻撃者は悪意あるスクリプトをWindowsのスタートアップフォルダーに書き込ませ、次回ログイン時にホスト全体を掌握することが可能になります。
影響範囲は.NET版 Semantic Kernel 1.71.0未満で、修正版への更新が必須です。
2件の脆弱性は、AIエージェント特有の「ツール呼び出し」設計上の落とし穴を示しています。
攻撃の核心は、AIエージェントが信頼するツール群を、プロンプト経由で意図しない順序・意図しない入力で呼ばせる点にあります。
ExecuteCodeで悪意あるスクリプトを生成→DownloadFileAsyncで危険な場所に書き込み、という連鎖で本来のサンドボックスを越えてしまうのです。
典型的な悪用ステップは以下のとおりです。
Microsoftは複数の対策を提示しており、修正パッチ適用に加えて、AIエージェント設計面の見直しが推奨されています。
自社でSemantic Kernelを使う日本企業の優先対応は以下のとおりです。
チップスパッチを当てるだけじゃ足りないんでしゅね……
ボスその通りだ。AIエージェントに「何でも呼べるツール」を持たせると、プロンプト1発でシェルになる。設計時から最小権限で組むのが鉄則だな。
Semantic KernelのCVE-2026-26030／25592は、プロンプトインジェクションが従来の「コンテンツ汚染」を越え、コード実行へとつながる現実を示しました。
AIエージェントを業務に組み込む日本企業は、修正版への更新と並行して、ツール公開範囲・ファイル操作権限の最小化を再点検する必要があります。
パッチ適用、KernelFunction属性の見直し、パス検証、エージェントプロセス監視の4本柱で、今すぐ防御を固めましょう。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
