Gemini CLI、ビルドファイル経由の命令注入を遮断。sandboxも強化

Gemini CLI 0.61.0 nightlyは、ビルドファイル経由の間接prompt injectionを防ぎ、sandbox境界とruntime stateを分離する2件の修正を公開しました。

📖 この記事で分かること

• Gemini CLI 0.61 nightlyの修正内容
• 間接prompt injectionが問題になる理由
• sandbox境界とruntime state分離の意味
• 安定版へ入る前に確認したいポイント

💡 知っておきたい用語

• prompt injection: AIが読む外部データに悪意ある命令を混ぜ、意図しない行動へ誘導する攻撃
• sandbox: プログラムが触れられるファイルや機能を限定する隔離環境

最終更新日: 2026年9月13日

▶ 公式ページ

• Gemini CLI 0.61.0 nightlyのリリースノート(GitHub)

2件の修正でcoding agentの防御線を強化

この記事のポイント

• Googleは2026年9月12日、Gemini CLI 0.61.0 nightly(2026年9月時点)で2件のセキュリティ関連修正を公開しました。
• ビルドファイルの変更や信頼されていないflagを介した間接prompt injectionを防ぎます。
• sandboxのファイルシステム境界を強化し、runtime stateも分離しました。

GoogleのGemini CLIは、2026年9月12日公開のnightly releaseで、coding agentを狙う間接prompt injectionへの対策を追加しました。変更は、ビルドファイルと信頼されていないflagを介する攻撃の防止、sandbox境界の強化と実行状態の分離という2件です。

今回の対象はタグ名に「nightly」を含む開発版です。安定版への反映時期や、影響を受ける過去バージョンの範囲はリリースノートに明記されていません。

ビルドファイルがAIへの命令経路になる

間接prompt injectionは、利用者がチャット欄へ危険な命令を直接入力する攻撃だけではありません。agentが読むファイルやツール出力へ命令文が紛れ、正規の指示として扱われる経路も含みます。

coding agentはソースコードだけでなく、ビルド設定なども参照します。公式説明が「build file modifications」と「untrusted flags」を対象に挙げた点から、防御の焦点は怪しい文章の検出だけでなく、入力元をどこまで信頼するかにもあると分かります。

sandbox境界とruntime stateを分ける意味

もう1件の修正は、sandboxのファイルシステム境界の強化とruntime stateの分離です。公式リリースノートは実装の詳細や対象パスを示していないため、具体的な隔離方式までは断定できません。

修正の方向性は、agentが触れられるファイル範囲を制限し、動作中の状態を別に扱うことです。入力段階で危険な命令経路を閉じつつ、すり抜けた場合もsandboxで影響を限定する多層防御になっています。

開発チームが確認すべき判断材料

Gemini CLIを業務で使うチームは、nightlyへ直ちに切り替えるかより、今回の防御線を自社運用へ照らすのが先です。レビューでは、agentがどのファイルを命令として解釈し得るか、外部リポジトリをいつ信頼済みにするか、sandboxが許可する範囲を確認します。

既存環境への適用判断には、今後の安定版リリースノートと組織の検証手順を併せて確認する必要があります。

編集部の見方

編集部は、今回の更新で最も重要なのは、prompt injectionを「怪しい文章の検出」だけでなく、入力経路と実行境界の問題として扱った点だと見ます。

根拠は、公式がビルドファイルと未信頼flagを攻撃経路として明示したこと、同じreleaseでファイルシステム境界とruntime stateも分離したことです。入力を拒む層と、侵入後の影響を抑える層が並んでいます。

安定版へ反映され、影響範囲や移行情報が公開された場合には、実運用で更新を急ぐべきかという判断へ重心が移ります。

よくある質問

Q: 今回の更新はGeminiモデル自体の変更ですか？

A: 公式リリースノートで確認できるのは、Gemini CLIのcoreとsandboxに関する修正です。モデルの性能変更は記載されていません。

Q: 安定版にも同じ修正が入っていますか？

A: 今回確認したURLは0.61.0 nightlyのリリースです。安定版への反映時期は、このリリースノートでは明記されていません。

Q: 既に悪用された脆弱性への対応ですか？

A: 公式説明は修正内容を示していますが、既知の悪用事例や影響範囲には触れていません。未確認の被害を前提に判断しないことが大切です。

まとめ

Gemini CLI 0.61.0 nightlyは、ビルドファイル変更と信頼されていないflagを介した間接prompt injectionを防ぐ修正を追加しました。同時にsandboxのファイルシステム境界を強化し、runtime stateを分離しています。安定版への反映時期は未確認ですが、coding agentの防御を入力・権限・隔離の複数層で考える更新です。

【用語解説】

• nightly release: 日々の開発成果を反映して作られる開発版。今回のタグ名にもnightlyと明記されています。
• runtime state: プログラムの実行中に保持される一時的な状態や管理情報です。
• 信頼境界: どの入力や領域までを信用し、それより外側を検証対象とするかを分ける境目です。

引用元:

• [1] Gemini CLI v0.61.0-nightly.20260912 release(Google / GitHub)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。