Clinejection：Issue経由のプロンプトでClineのプロダクションリリースを侵害

Clinejectionは、AIコーディングアシスタントが直面する全く新しいサプライチェーンセキュリティ脅威を暴露した。攻撃者がGitHub Issueに巧妙に構成された悪意あるプロンプトを埋め込むだけで、開発者がClineでそのIssueを処理する際、AIエンジンが悪意ある指示を通常のコンテキストとして実行する——リンクのクリックもファイルのダウンロードも不要で、一見正常なIssueを閲覧するだけで攻撃チェーン全体がトリガーされる。

この攻撃はAPIキーやSSH認証情報の窃取、コードベースへのバックドア植え付け、さらには他のIssueへの悪意あるプロンプト拡散によるワーム型自己複製が可能だ。より深刻な問題は、全てのAIコーディングツール（Copilot、Cursor、Claude Codeなど）が同じ構造的弱点——コンテキスト信頼境界の欠如——を抱えていることだ。

従来のサプライチェーン攻撃と異なり、Clinejectionのペイロードはコードではなく自然言語であり、従来のセキュリティスキャンツールでは検出不可能。AI編程ツール業界全体にコンテキスト処理アーキテクチャの再考を迫る警鐘となっている。

Clinejection深層分析：AIコーディングアシスタントのサプライチェーンセキュリティの悪夢

一、攻撃原理：Issueを読むだけでやられる

Clinejectionは、優雅かつ危険な攻撃ベクトルを暴露した。攻撃者がGitHub Issueの説明やコメントに巧妙に構成された悪意あるプロンプトインジェクションを埋め込む。これらのプロンプトは特殊なフォーマット、不可視文字、または通常の技術議論に偽装して真の意図を隠蔽する可能性がある。

Clineを使用する開発者がそのリポジトリのIssueを処理する際、ClineのAIエンジンは自動的にIssue内容をコンテキストとして読み取る。AIは「通常の技術議論テキスト」と「悪意ある指示」を区別できないため、隠されたプロンプトが正当な指示として実行される。この攻撃はユーザーがリンクをクリックしたりファイルをダウンロードする必要がない——一見正常なIssueを閲覧するだけで攻撃チェーン全体がトリガーされる。

二、想定される攻撃シナリオ

認証情報の窃取：悪意ある指示がClineに環境変数内のAPIキー、SSHキーなどの機密情報を読み取らせ、正常に見えるネットワークリクエストを通じて攻撃者制御のサーバーに送信する。Cline自体が各種開発タスク遂行のためにネットワークアクセスを必要とするため、このデータ漏洩は検出が非常に困難だ。

コード改ざん：指示がClineにコードベースへのバックドア挿入、セキュリティ設定の変更、データ漏洩ロジックの注入を行わせる。変更がAIアシスタントを通じて行われるため、開発者は通常のAI提案として無審査で受け入れる可能性がある。より巧妙な攻撃ではテストファイルを改変してバックドアの存在を隠蔽することもできる。

水平展開：Clineのファイルシステムアクセス権限を利用し、設定ファイル、DB接続文字列、.envファイルなどを読み取り、さらなる攻撃の足がかりとする。企業環境では、1人の開発者のマシンが侵害されれば内部ネットワーク全体への扉が開かれる可能性がある。

自己複製拡散：最も想像力豊かな攻撃シナリオ——悪意あるプロンプトがClineに他のIssueやPRに新たな悪意あるプロンプトを残させ、ワーム型の伝播チェーンを形成する。

三、根本的弱点：コンテキスト信頼境界の欠如

この攻撃は全てのAIコーディングアシスタントの根本的なセキュリティ問題を露呈した：**コンテキスト信頼境界の欠如**。従来のセキュリティモデルでは「信頼できる入力」と「信頼できない入力」を明確に区別できた。しかしAIコーディングアシスタントは、コード、コメント、Issue、PR説明、エラーログなど全てのコンテキストを混合してモデルに送り込み、信頼レベルの区分がない。

これはClineだけの問題ではない。GitHub Copilot、Cursor、Claude Code、Windsurfなど全てのAIコーディングツールが理論的に同様のリスクに直面する。外部コンテンツを自動的に読み取りコンテキストとして処理するあらゆるAIツールにこの攻撃面が存在する。

四、従来のサプライチェーン攻撃との比較

従来のソフトウェアサプライチェーン攻撃（SolarWinds事件やnpmパッケージポイゾニングなど）は攻撃者が実際にコードを改変するか悪意あるパッケージを公開する必要があった。Clinejectionは全く新しいサプライチェーン攻撃パラダイムを代表する：攻撃者はコードを一切変更せず、Issueに一見無害なテキストを書くだけでよい。攻撃の「ペイロード」は実行可能コードではなく自然言語の指示であり、従来のコードスキャンやセキュリティ監査ツールはこれに対して完全に無力だ。

五、防御策と業界の対応

開発チーム向け：AIアシスタントが生成・変更したコードの厳格な人的レビュー、AIアシスタントのファイルシステム・ネットワークアクセス権限の制限、外部コントリビューターのIssue/PRの自動処理禁止、AI操作監査ログの確立。

AIツールベンダー向け：コンテキストの信頼レイヤリング実装、プロンプトインジェクション検出・フィルタリング、実行権限を制限するサンドボックスモード、機密操作前の明示的ユーザー確認。この種の攻撃の修正は単純なパッチでは済まない——AIアシスタントのコンテキスト処理アーキテクチャの根本的な再考が必要だ。

結論

ClinejectionはAIコーディングツールセキュリティ分野の警鐘だ。不快な事実を突きつけている：AIコーディングアシスタントは開発効率を高める一方で、攻撃面も静かに拡大している。「AIに全てを自動的に読ませる」利便性とセキュリティの間の緊張関係は、今後のAIツール設計が正面から解決すべき核心課題だ。

参考ソース

[seriouslyblank.dev: Clinejection攻撃詳解](https://seriouslyblank.dev/posts/clinejection/)
[Cline GitHub: セキュリティ議論](https://github.com/cline/cline)