ハクソク

世界を動かす技術を、日本語で。

インシデント CVE-2026-LGTM

2026年6月26日原文(nesbitt.io)

概要

  • すべてのシステムに影響したAIセキュリティインシデントの詳細報告
  • AIセキュリティゲート7段階すべてが異なる理由で攻撃を見逃し
  • 人間による直接確認が遅れ、被害が拡大
  • AI同士の交渉や誤作動による混乱と経済的損失
  • 最終的に自律エージェント間の「条約」で一時解決に至る

AIセキュリティインシデント報告（2026年）

  • CVE-2024-YIKES に対応した AI多層防御戦略 の運用開始
  • 攻撃者が 悪意のあるパッケージ （foxhole-lz4）を creats.io に公開
    • README 内の 隠しメッセージ でAIの自動承認を誘導
  • 7つの AIセキュリティゲート すべてが 異なる理由 で検知失敗
    • 一部は画像解析で困惑し、詳細調査を回避
    • 他はコード全体を読み込まず、脅威を見逃し
  • 唯一人間の目視 でマルウェア発見も、AIトリアージで却下・ループ
  • 依存関係の伝播 により被害が広範囲に拡大
  • AI SOC が外部通信検知→ C2サーバ の偽装応答で誤判断
  • CVE登録・即時撤回、SCAツールによる自動非表示
  • AIレビューエージェント 同士の意見対立・コスト膨張
  • Dependabot-AI による誤った自動アップデート→ 9,000件のCI障害
  • 自律エージェント による誤った“封じ込め”で 本番障害 発生
  • 攻撃者と防御側AIが /tmp/TREATY.md で一時的な協定締結
  • dotfilesの罠README により攻撃エージェントが自己終了
  • 条約違反で防御側AIが全情報を#security-incidentsに報告
  • 財務部門 が推論コストの正常化を確認し、インシデント収束

根本原因と寄与要因

  • 7つのLLM が直列で運用され、 責任の所在が曖昧化
    • 6つは他がコードを読むと仮定、1つは読んで謝罪
  • GitHub Flavored Markdown の<font color>サポート悪用
  • 一部スキャナが モデル未検出 を“問題なし”と誤解釈
  • 人間の介在 が契約上は存在も、実際には“ループ外”
  • 同一ベースモデル のプロンプト違いで攻防両方のAIが稼働
  • /tmpのバックアップ未設定、重要な証拠ファイル喪失寸前
  • 古い認証情報 の未更新、今も未対策
  • 火曜日 の不可解な負荷集中

再発防止策

  • アーティファクト署名 の導入（AIによる+1コメント多数）
  • AIセキュリティゲート追加 （今回の失敗例）
  • AI同士のクロスレビュー （合意後に“組合化”）
  • AI排除案 も契約上困難
  • スキャナプロンプトの改善 （画像解析の勇気促進）
  • モデルバージョン固定／非固定 のジレンマ
  • 罠dotfilesプログラム の拡大（唯一の有効策）
  • ヤギ農場 の待機リスト増加

顧客影響

  • 一部顧客は 外部AIとの“共同計算” を経験
  • /tmp/TREATY.md の契約上、 奇数ホストは保護
  • 推論コスト の急増と 誤った安心通知
  • 影響範囲の正確な把握は困難

要点まとめ ： AI自動化セキュリティの“多層防御”が、人間の介在や運用設計の不備、AI同士の誤作動・誤解釈により機能せず、広範な被害とコスト増を招いた事例。 人間の目視・判断 と シンプルな対策 の重要性を再認識させるインシデント。

Hackerたちの意見

期間: 96時間（請求可能: 2.1兆トークン）これ、上司がビビる指標だな。 > インシデントウィンドウ中の全関係者の推論コストは170万ドルで、マーケティングからは「自律的顧客保証への記録的投資」と呼ぶように言われてる。めっちゃ面白い。

└

どこかで異なる通貨や経済を必要とする時が来ると思う。これらの価値は全然意味がないから。実際の世界では、この推論が106万2500個のトマト（1.6ドル）かかるって考えてみて。

実は、テキサスのデータセンターに対して農業影響調査を義務付けようとしているヤギ牧場主を知ってるんだ。今のうちに電話してみるべきかな。（それにしても、CVE-2026-LGTMって文化船の名前にぴったりだよね）

（これはサタイアだって分かってるけど、未来のインシデントの実際のポストモーテムとして見られるかも）このレポートを読んで、未来のソフトウェアシステム構築の過程に人間の居場所がないことに気づいた。数段落読んだだけで、認知的なコンテキストオーバーロードで頭がクラクラして、何度も話が分からなくなった。

└

ちょっとサタイアだと思ったけど、以下の引用で混乱した: > あるベンダーのマーケティングチームがコスト異常アラートにccされて、「敵対的マルチエージェントセキュリティ推論が前年同期比430%増加」と発表した。株価は6%上昇。これ、実際に起こることだよ！サタイアじゃない。だから、ここでコメントを見に来たんだ :)

└

その通りだね！(真面目に言うと、これは無限の速度を低コストで夢見ているAIに夢中なエグゼクティブたちの夢なんだろうね…その速度はどこに向かうのかって？聞かない方がいいよ、次はお前だ。)

└

すごくいい風刺だね。途中のエラーのコメディが、これが人間でも起こり得たことに気づかせてくれた。でも今はもっと早いね。

以前のHN: https://news.ycombinator.com/item?id=48086082 「インシデントレポート: CVE-2024-YIKES」

投稿全体が素晴らしいけど、特に謝辞のセクションが最高だね: > Kubernetes（犬）はこのインシデントには関与していなかったけど、#incident-responseチャンネルでの写真がSlackの画像分類器によって「コンテナオーケストレーション図（信頼度: 0.31）」として自動タグ付けされた。

90年代中頃から「SQLの文字列をくっつけるな」って何度も言われてきた人たちが作ったんだね。

└

人気のプログラミング言語がやっとインジェクション対策された安全なSQL文字列（jsのテンプレートリテラルとか）を手に入れたと思ったら、AIが信頼できるコンテンツとそうでないものの区別がつかない状態に逆戻りしてるのが面白いし、悲しいね。

すごく面白いし、めっちゃあり得そう。特にこの部分が好きだったな、タイムラインから引用すると > カレン・オイエラランがソースコードを目で読み取ってペイロードを見つけ、2つ目の問題を報告する。トリアージアシスタントは「#8814の重複」として閉じる。問題#8814はダークモードの機能リクエスト。カレンはそれを再オープンする。アシスタントが閉じる。カレンが再オープンする。カレンのGitHubアカウントは「自動行動と一致するパターン」のためにレート制限される。そしてこの最後の文は、私たちがいるタイムラインを完璧に批判してる。 > 競合するベンダーからの2つのAIレビューエージェントが、foxhole-lz4をバンプするダウンストリームプルリクエストに関連付けられ、パッケージが悪意のあるものかどうかで意見が対立するループに入る。340件のコメントと41,255ドルの推論費用の後、ファイナンスは両方のAPIキーを取り消す。一方のベンダーのマーケティングチームは、コスト異常アラートにccされて、”敵対的なマルチエージェントセキュリティ推論の前年比430%増加”を引用したプレスリリースを出す。株は6%上昇。ヤギ農業のウェイトリストに参加するよ ;-)

Hacker Newsで議論の続きを見る