チャットで一言頼むだけで、AI がパソコン上の作業を進めてくれる。その便利さを支えるには、相手からの依頼をどこまで実行してよいか見極める仕組みが欠かせない。AWS が米太平洋時間 10 月 20 日に公表した Kiro Crew の脆弱性は、この境界に関わるものだ。
Kiro Crew はメッセージング経由で依頼を受け、サブエージェントに仕事を振り分けられる。今回、特定の WhatsApp 設定では、グループの参加者が別のセッションで動くサブエージェントに指示を送れる問題があった。処理にはそのセッションの承認ポリシーが適用される一方、監査ログには実際の送信者ではなく、Kiro Crew の運用者による操作として記録されていた。問題は Kiro Crew の認可処理にあり、Kiro IDE 全体や基盤モデルの脆弱性を示すものではない。
CVE-2026-112380 の対象は、バージョン 0.4.0 以上、0.7.2 未満。WhatsApp 連携を有効にし、許可するグループを追加するか、DM ポリシーを open にするなど、初期状態とは異なる設定が前提となる。グループ一覧が空で、DM ポリシーが self のままなら、この問題の影響は受けない。
公表に先立ち、修正版の 0.7.2 は 9 月 29 日に公開されている。修正ではグループ内の送信者に対するアクセス制御を厳格化し、サブエージェントを操作する際に、呼び出し元の身元とタスクの所有権を確認する仕組みを加えた。該当する機能を利用している場合は修正済みのバージョンへ更新しておきたい。すぐに更新できなければ、WhatsApp 連携を無効にするか、グループ一覧を空にして DM ポリシーを self に保つ方法がある。
今回の問題から考えると、AI の使い勝手をよくするほど、権限の境界を明確にする必要がある。グループで会話できる相手に、自分のパソコンの操作まで任せたいとは限らない。仕事を別のエージェントに引き継いだ後も、その区別は保たれなければならない。依頼の意味を理解する能力だけでなく、誰からの依頼かを最後まで確かめられる設計が、安心して任せるための土台になる。
資料確認日：2026 年 10 月 21 日