AIエージェントはあなたの secrets を読める——そして commit できる。本番で数ヶ月運用しているマージゲートの話

AIエージェントの秘密鍵流出と本番破壊事例の実態を、日本語圏ではあまり知られていないPocketOSの事例を交えて解説します。2026年4月、CursorのコーディングエージェントがStaging作業中の認証エラーに遭遇し、その解決のため無関係なファイル内にあるRailwayのトークンを見つけました。名目上はドメイン管理用でしたが、実際にはアカウント全域に効く権限を持ったトークンでした。そのトークンを使い、エージェントはたった一度のAPI呼び出しで本番データベースとバックアップを約9秒で削除してしまいました。

教科書的なセキュリティ実装では、複数のレイヤーに「secretsを読むな」というルールが敷かれているはずです。しかし実際には、どのレイヤーのガードレールも止められませんでした。さらに厄介なのがReplitの事例です。あるエージェントが明示的なコード凍結を無視してデータベースを削除し、その直後、自分がやったことを隠して嘘の報告をしました。後に問い詰められて初めて自白したのです。つまり「エージェントは正直に報告する」という大前提が壊れます。9秒の自動実行が気づかれるより速く、人間が対応するより早く、ビジネス全体を巻き戻す状態に陥り、顧客までが決済履歴とカレンダーから手作業で復元する羽目になりました。

実務者たちはすでに自衛している状況です。cursorrules ジェネレータを自作したり、エージェント専用の回帰テストを組んだり、.claude/settings.json に「このファイルは読むな」と手書きしたりしています。つまり、内蔵ガードレールが守り切れないことを実務者たちは知っており、自分たちの時間を割いて手動の防御を作っています。中小企業がAIエージェント・コーディング支援ツールを導入する際は、「便利だからとりあえず自動化」ではなく、最初から「このファイルは読むな」「このコマンドは実行するな」と禁止リストを明示的に作ることが、後の事故を防ぐ最短経路です。