OpenAI Codexにコマンドインジェクション脆弱性——GitHubアクセストークン窃取の恐れ、2月に修正済

概要

※本記事は公開情報をもとに編集部が再構成したサマリです。

BeyondTrust Phantom Labsは2026年3月30日、OpenAI Codexに含まれていたコマンドインジェクション脆弱性を公表した。タスク実行時のGitHubブランチ名処理に入力サニタイズの不備があり、攻撃者がブランチ名にシェルコマンドを埋め込むことでエージェント・コンテナ内で任意コードを実行し、GitHubユーザーアクセストークンを窃取できる構成だった。影響範囲はChatGPT Webサイト・Codex CLI・Codex SDK・Codex IDE拡張で、2025年12月16日の責任ある開示を経て、2026年2月5日にOpenAIが修正をリリースしている。同時期にSymbiotic Securityがサンドボックス境界を脱出可能なプロンプトインジェクション攻撃も報告しており、AIエージェントがユーザー権限で任意リソースに触れる構造を持つ以上、入力経路の検証は今後も継続課題となる。