GitHub、静的解析エンジンCodeQL 2.26.0でKotlin 2.4.0対応とAIプロンプトインジェクション検知を追加

GitHubは、コードスキャニングの基盤となる静的解析エンジンCodeQLの最新バージョン2.26.0を公開しました。今回のアップデートではKotlin 2.4.0のフルサポートが追加されたほか、生成AIアプリケーション開発におけるセキュリティ強化として、JavaScriptおよびTypeScript向けのプロンプトインジェクション検知クエリが導入されました。

AI関連の更新では、OpenAIのRealtime APIセッション指示やAnthropicのレガシー補完プロンプト、Google GenAIのキャッシュコンテンツなど、主要なAI SDKを介したインジェクションのシンク（データの到達点）が追加されています。また、C#ではRazor Pageのハンドラーメソッド引数をリモートフローソースとして認識するようになり、SQLインジェクションなどの脆弱性検知精度が向上しました。Go言語においても標準ライブラリであるlog/slogパッケージに対応し、ログインジェクションの検出範囲が拡大しています。

従来は検知が困難だったSDK固有の呼び出しについても、バージョン2.26.0以降ではデフォルトのセキュリティクエリでカバーされるようになります。既存のGitHub ActionsやCLI環境でCodeQLを利用している場合は、解析エンジンを最新版に同期することで、これらの新しい言語仕様やセキュリティモデルの恩恵を受けることができます。