【高】CVE-2026-18733 Amazon Strands Agents ToolsにおけるプロンプトインジェクションでのRCE対策ガイドAI Security向け実務手順

結論

• 危険度: High (CVSS 8.8)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-08-03 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-18733は、Amazon Strands Agents Toolsのシェルツールに存在する脆弱性です。攻撃者は作成した特殊なプロンプトを使い、認証や人の承認なしにエージェントのホスト上で任意のOSコマンドを実行できます。LLMゲートウェイ運用者にとって最優先対応が必要な深刻な問題です。

やさしく説明すると

例えると、AIエージェントを動かすシェルに「勝手に合鍵を作られてしまう」ような脆弱性です。通常は人が操作を承認して安全を守っているのですが、この欠陥を利用すると「鍵を渡さずに勝手に玄関を開けられる」状態になります。つまり、悪意のある人は遠隔操作で自由に命令できてしまいます。

技術的な原因

この脆弱性はプロンプトインジェクション（prompt injection）によるものです。つまり、攻撃者が作成した特別な入力（プロンプト）で、通常は人の承認が必要な操作をスキップさせられます。非対話モードを表すnon_interactiveパラメータをtrueに設定することで、セキュリティゲートを回避するしくみになっています。

影響を受けると何が困るか

• エージェントのホストで任意のOSコマンドが実行され、マルウェア設置や情報漏洩が起こる可能性
• Agent frameworkの乗っ取りによるLLM代理操作や不正なプロンプト挿入
• AI GatewayやLLM Proxyを通じた多層的環境でのセキュリティ破壊
• 機密データやAPIキーの窃取、AI開発用ツール(Cursor/Clineなど)の誤用による開発環境汚染
• 運用中のAgenticシステムやMCP Server環境の信用失墜やサービス停止

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 高

判断根拠

• CVSS v3.1スコアは 8.8（HIGH）で、実務的にはかなり危険。攻撃者はネットワーク経由で認証不要に攻撃可能だが、人の操作が１度だけ必要
• EPSS（実際の悪用予測確率）データは未公開であるため悪用状況は不明
• ランサムウェア等の悪用観測は報告されていないが、リスクは高い
• 公開されているPoC（動作検証コード）やエクスプロイトは存在しない
• 攻撃複雑度が低く、設定次第で簡単に悪用可能なため、AI GatewayやAgent運用者は迅速な対策が求められる

誰が動くべきか

• Agentフレームワーク開発者（例: LangChain, AutoGen等）
• LLM Gateway運用チーム（例: LiteLLM, OpenRouter等）
• Agenticシステム管理者やMCP Server運用者
• AI駆動開発者（Cursor, Cline, CopilotなどAIコーディングツール利用者）
• バイブコーダー開発者およびAI Security担当者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show strands-agents-tools

出力例:

Name: strands-agents-tools
Version: 0.7.5
Summary: Example agent tools package
...

判定: バージョンが 0.8.0 未満なら脆弱です

Python (pip) alternative

pip list | grep strands-agents-tools

出力例:

strands-agents-tools         0.7.5

判定: 出力のバージョンを確認し、0.8.0未満なら脆弱です

設定確認

この脆弱性はプロンプト内のnon_interactiveパラメータを悪用します。設定依存ではなく、バージョンが対象範囲であれば脆弱です。設定による回避策は公式に提示されていません。

Nucleiテンプレートでの検出

2026年8月時点で公開Nucleiテンプレートは見つかっていません。必ずバージョンチェックで対応してください。

STEP 4: 修正を適用する

パッチ適用

Python (pip) 環境

pip install --upgrade strands-agents-tools

出力例:

Collecting strands-agents-tools
  Downloading strands_agents_tools-0.8.0-py3-none-any.whl (50 kB)
Installing collected packages: strands-agents-tools
Successfully installed strands-agents-tools-0.8.0

判定: バージョンが 0.8.0 以上であれば修正済

注意: バックアップを必ず取得し、テスト環境での動作検証を実施してください。本番アップデート時は可能な限りダウンタイム計画を立ててください。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応策は提示されていません。可能な限りAgentツールの利用範囲を限定し、信頼できるクライアントからのリクエストのみ許可するネットワーク制限を推奨します。

STEP 5: 修正されたことを確認する

STEP 3 で利用したバージョン確認コマンドを再度実行し、修正済みバージョンか確かめてください。

期待される出力

Python (pip)

pip show strands-agents-tools

出力例:

Name: strands-agents-tools
Version: 0.8.0
Summary: Example agent tools package
...

判定: バージョンが 0.8.0 以上ならOK

追加で確認すべきこと

• 脆弱性検出ツール（将来Nucleiテンプレートが公開された場合）を使い再検査する
• アクセスログに不審なコマンド実行やプロンプトインジェクションの兆候がないかチェックする

補足: 悪用観測状況

現在、CISA KEVカタログに未登録であり、ランサムウェアを含む悪用の報告はありません。GitHub上に公開PoCも存在しません。とはいえ、CVSSは高リスクのため注意が必要です。

補足: CVSSメトリクス詳細

• AV (Attack Vector: 攻撃元) : NETWORK（ネットワーク経由）
• AC (Attack Complexity: 攻撃の難しさ) : LOW（低い）
• PR (Privileges Required: 必要な権限) : NONE（不要）
• UI (User Interaction: ユーザー操作) : REQUIRED（操作が1回必要）
• S (Scope: 影響範囲) : UNCHANGED（影響範囲は変更なし）
• C (Confidentiality Impact: 秘密性への影響) : HIGH（高い）
• I (Integrity Impact: 完全性への影響) : HIGH（高い）
• A (Availability Impact: 可用性への影響) : HIGH（高い）

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で環境のバージョンを確認し、脆弱ならSTEP 4で0.8.0以降にアップデートしてください。最後にSTEP 5で修正を確認します。

Q. パッチが適用できない場合、どうすればよいですか？

A. 公式の暫定対応はありませんが、ネットワーク隔離や信頼できる接続元限定で悪用リスクを減らす対策を講じてください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. ログに不審なプロンプト操作や不自然なコマンド実行がないか監視してください。CISA KEV等での悪用情報も定期的に確認しましょう。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは理論上のリスクを示しますが、EPSSは「実際に悪用される可能性」を表します。両方参照すると優先度判断が正確にできます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. プロンプトインジェクションを狙う脆弱性は他にも存在します。AgenticフレームワークやLLM Proxyでも類似の問題を注視してください。

参考文献

• NVD – CVE-2026-18733
• AWS Security Bulletin
• GitHub Advisory – Strands Agents Tools
• PyPI – strands-agents-tools 0.8.0 リリース

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• High脆弱性 に関するCVE・脆弱性記事一覧
• Prompt Injection に関するCVE・脆弱性記事一覧
• AI Safety に関するCVE・脆弱性記事一覧