AWSは2026年10月21日(日本時間)、個人向けAIエージェント「Kiro Crew」の認可に関する脆弱性「CVE-2026-112380」を公表しました。WhatsAppを使う一部の構成では、グループ参加者が別セッションに指示し、運用者のマシン上で処理を実行させられる問題です。修正版は0.7.2で、情シスは利用バージョンとWhatsAppの設定を組み合わせて確認する必要があります。
対象は一部のWhatsApp設定、初期設定は影響なし
Kiro Crewは、Web画面やCLI(コマンドで操作する仕組み)、WhatsAppなどから利用するオープンソースのAIエージェントです。AWSによると、ツールの実行場所は運用者のマシンです。
今回の問題は、操作する権限があるかを確かめる「認可」の欠落です。WhatsAppチャネルと、内部で処理を担うサブエージェントの実行制御に問題がありました。影響するバージョンは0.4.0以上、0.7.2未満です。さらに、グループを許可登録しているか、ダイレクトメッセージのポリシーをopenにした一部の構成が対象です。
初期設定は、whatsapp.groupsが空で、whatsapp.dm_policyがselfです。AWSはデフォルト設定は影響を受けないとしています。対象版を使っているだけで、すべての環境が同じ影響を受けるわけではありません。
日本での提供は発表には書かれていません。
監査記録だけでは指示した人を見誤る恐れ
AWSによると、グループ参加者は別セッションのサブエージェントに指示できました。その指示は、対象セッションの承認ポリシーに従い、運用者のマシン上で実行されました。
加えて、監査記録は実際の送信者ではなく、運用者にひも付けられました。社内で利用していた場合、記録上の運用者を、そのまま指示した本人と判断しないことが重要です。誰が送信したかと、どの承認ポリシーで処理が動いたかを分けて確認する必要があります。
0.7.2では、WhatsAppのグループ通信にもユーザー別の許可リストを適用しました。また、すべてのサブエージェント実行制御経路で、呼び出し元の本人確認と所有権確認を必須にしています。AWSは最新版への更新と、フォークや派生コードへの修正取り込みを推奨しています。
影響する会社・しない会社
- 影響する: Kiro Crewの0.4.0以上、0.7.2未満を使い、WhatsAppのグループを許可登録しているか、DMポリシーをopenにした一部の構成で運用する会社です。バージョンと設定の両方を確認してください。
- 影響する: Kiro Crewを複製・改変したフォークや派生コードを使う会社も、修正の取り込み状況を確認する必要があります。AWSはこれらにも修正を取り込むよう推奨しています。
- 影響しない: AWSによると、
whatsapp.groupsが空、whatsapp.dm_policyがselfのデフォルト設定は影響を受けません。0.7.2では本件が修正されています。
