CodeQL 2.26.0公開、AIのプロンプトインジェクションもコードスキャン対象に

何が新しく入ったのか

GitHubは7月10日の公式Changelogで、CodeQL 2.26.0を公開しました。CodeQLは、GitHub code scanningの裏側でコードのセキュリティ問題を見つける静的解析エンジンです。

今回のアップデートには、Kotlin 2.4.0対応、C#・Go・Python・Swift・GitHub Actionsのクエリ改善も含まれています。ただしAIに関心のある読者にとって最も重要な変化は、JavaScript/TypeScriptでsystem prompt injectionを検出するクエリが追加された点です。

プロンプトインジェクションをコードスキャンするという意味

GitHubの説明によると、新しいjs/system-prompt-injectionクエリは、信頼できないユーザー提供の値がAIモデルのシステムプロンプトへ流れ込むケースを探します。攻撃者がその流れを悪用すると、モデルの動作を変えるよう誘導できる可能性があります。

簡単に言えば、ユーザーが入力した文章が単なる質問で終わらず、AIの「運用ルール」に近い場所へ混ざっていないかを見る検査です。プロンプトが画面上の文言ではなく、セキュリティ境界になる瞬間を、コード解析ツールが追跡し始めた形です。

OpenAI・Anthropic・Google SDKまで言及された理由

今回のChangelogでは、JavaScript/TypeScript側でOpenAI、Anthropic、Google GenAI SDK APIに対するprompt injection sinkも追加されたと説明されています。例として、Sora prompts、OpenAI Realtime session instructions、Anthropic legacy completion prompts、Google GenAI cached contentとsystem instructionsが挙げられています。

この点が重要なのは、AIアプリがもはや1回のモデル呼び出しだけで完結しないためです。音声セッション、キャッシュ済みコンテンツ、システム指示、複数社のSDKが混ざると、ユーザー入力がどこでルール領域に入り込むのか追跡しにくくなります。CodeQLがこの経路をクエリとして扱い始めたことは、開発者ツールがAIアプリの構造を実際のセキュリティ対象として見始めたことを意味します。

開発者がすぐ見るべきポイント

AIアプリを作るチームは、今回のアップデートを単なるバージョンアップとして見る必要はありません。ユーザー入力がsystem prompt、session instruction、tool instruction、cached contentへ入る経路を、コードレビューで切り分けて確認するべきです。また自動スキャン結果が出たとしても、実際のリスクはアプリの権限、ツール実行範囲、ログ、ユーザーデータへのアクセス範囲とあわせて判断する必要があります。

特にエージェント型アプリでは、モデルが外部ツールを呼び出したりファイルを読んだりするケースが多くなります。このときプロンプトインジェクションは、「変な返答をする問題」を超えて、ツール権限とデータアクセスを揺さぶるセキュリティ問題になり得ます。

Game Sunakku的まとめ

今回のCodeQL 2.26.0は、大型モデル発表のように派手なニュースではありません。ただし実務面ではかなり重要です。AI機能をアプリに組み込む流れが広がるほど、プロンプトとSDK呼び出しも既存のコード脆弱性と同じように検査し、記録する必要が出てくるためです。

まとめると、AIセキュリティの次の段階は「モデルを慎重に使おう」ではなく、「コードの中でプロンプトの流れを追跡しよう」に近づいています。GitHub code scanningを使っているチームなら、CodeQL 2.26.0のAI関連クエリをアップデートチェックリストに入れておく価値があります。