詳細を読む
GitHub Security Labは9月28日、オープンソースのAIセキュリティエージェント用にAndroid監査フローを作り、モバイルアプリの脆弱性24件を発見・報告したと明らかにしました。侵入口の分類と脆弱性種別の確認を段階的な指示に分け、複数回実行することで、位置情報の追跡やアカウント乗っ取りにつながる複雑な論理欠陥も検出しました。
GitHub Security Lab Taskflow Agentは、研究者が有効な指示や作業手順を自動化し、共有するための公開基盤です。今回の監査では、モバイル固有の侵入口を選別する工程と、想定すべき脆弱性を厳密に調べる工程を組み合わせ、広い探索と見落とし防止を両立させました。
地図アプリOsmAndでは、外部アプリが設定を通知なしで書き換え、地図タイルや経路の通信から利用者の位置、出発地、目的地を追跡できる欠陥を確認しました。Android版は1,000万回超ダウンロードされており、権限を持たない悪意あるアプリでも攻撃できる内容でした。
WikipediaのAndroidアプリでは、ディープリンクの接続先を確認する処理とCookieの対象判定に不備がありました。2つを組み合わせると、攻撃者のページへ利用者を誘導して長期間有効なCookieを盗み、Wikipediaを含むWikimedia各サービスのアカウントを乗っ取れます。
一方、AIは現実には成立しにくい問題を挙げたり、緩和要因を見落として重要度を誤ったりするため、モバイル分野に詳しい研究者の再検証が欠かせません。実行にはGitHub Copilotライセンスと有料モデル枠が必要で、多数のツール呼び出しにより大量のトークンを消費します。中規模リポジトリの監査には1〜2時間かかる場合があります。