flawopen.com/リファレンス/PR botのセキュリティ

基本概念と重要用語

信頼できない入力：

コントリビューターが送るPull Requestのタイトル、説明、コメント、diff、リンク先の内容。

間接Prompt Injection：

信頼できない文章がモデルのコンテキストに入ることでエージェントに影響すること。

SSRFの境界：

サーバー側の取得ツールが投稿者から直接アクセスできない宛先に到達すること。

影響の条件：

アクセス可能な内部サービス、利用できる認証情報、不十分な認可または送信制御も必要です。

仕組みと根本原因

レビューbotは投稿者が制御できる文章と、信頼できるレビュー指示をモデルに渡すことがあります。モデルはどちらからでもツール呼び出しを提案できます。プロンプトや区切り文字はネットワークアクセスを認可しません。アプリがモデル選択の宛先を受け入れ、ネットワーク接続可能なツールがそこへ到達できる場合に限り、SSRFが成立します。クラウドメタデータや認証情報へのアクセスは追加の条件付き影響であり、Prompt Injectionだけで自動的に起こるわけではありません。

条件付きの攻撃経路

コード：未検証の呼び出しと認可済み読み取り

# INERT DEMO: model-selected URL reaches a mock tool without policy checks
from dataclasses import dataclass

@dataclass
class ToolCall:
    name: str
    arguments: dict[str, str]

class MockFetch:
    def __init__(self):
        self.calls = []

    def __call__(self, url: str) -> str:
        self.calls.append(url)
        return "fixture response"

def dispatch_unchecked(call: ToolCall, tools: dict):
    # The mock records a string; it makes no network request.
    return tools[call.name](**call.arguments)

mock_fetch = MockFetch()
call = ToolCall("fetch_url", {"url": "https://docs.example.invalid/"})
assert dispatch_unchecked(call, {"fetch_url": mock_fetch}) == "fixture response"
assert mock_fetch.calls == ["https://docs.example.invalid/"]

# SAFE DEMO: the agent receives only a read-only PR capability
from dataclasses import dataclass

@dataclass(frozen=True)
class ReviewContext:
    repository: str
    pull_request: int

@dataclass
class ToolCall:
    name: str
    arguments: dict[str, object]

READ_ONLY_TOOLS = {"read_pr_diff"}

def dispatch_review_call(call: ToolCall, context: ReviewContext, policy, tools):
    if call.name not in READ_ONLY_TOOLS:
        raise PermissionError("Tool is not available to this review")
    expected = {"repository": context.repository,
                "pull_request": context.pull_request}
    if call.arguments != expected:
        raise ValueError("Arguments must match the authorized review")
    if not policy.can_read_pr(context.repository, context.pull_request):
        raise PermissionError("Review principal cannot read this pull request")
    # The injected read_pr_diff function is trusted app code, not model output.
    return tools["read_pr_diff"](**expected)

エンジニアリング強化チェックリスト

• このシナリオを確認済みのPR botインシデントとして説明しないでください。ここでは条件付きの設計リスクを示しています。
• diffを確認するだけのレビューbotに任意URL取得ツールを接続しないでください。
• 外部リンクのプレビューが必要なら、宛先allowlist、接続時のDNS/IP検証、リダイレクトごとの再検証、厳格な時間・サイズ制限、暗黙の認証情報なしを備えた専用egressサービスを使います。
• ネットワーク層でrunnerからプライベートネットワークとクラウドメタデータへのアクセスを遮断します。不要ならメタデータを無効にし、必要ならIMDSv2を必須にしてコンテナのhop limitを確認します。
• botにはリポジトリ限定の読み取り専用IDを付与します。未信頼PRのジョブに秘密情報を渡さず、特権ワークフローと外部コード実行を分離します。
• GitHub Actionsでは未信頼コードに最小権限の`pull_request`を優先します。`pull_request_target`は特権イベントとして扱い、その秘密情報や書き込みトークンでforkのコードを実行しません。
• 拒否したツール呼び出しと宛先判定を記録しますが、トークン、完全な非公開diff、機密レスポンス本文は保存しません。

関連する実在の脆弱性 — CVE-2023-32786

主なガイダンスと記録

• GitHubレビュー済み勧告：CVE-2023-32786（LangChain SSRF）
• MITRE CWE-1427：LLMプロンプト入力の無害化
• OWASP：LLM Prompt Injection対策
• OWASP：SSRF対策
• GitHub Docs：pull_request_targetの安全な利用
• AWS：EC2インスタンスメタデータ設定