🤖 技術調査 - GitHub Copilot CLI のカスタムエージェント

調査日: 2026-06-10
対象: GitHub Copilot CLI のリポジトリ管理型カスタムエージェント (.github/agents/*.agent.md)

概要

GitHub Copilot CLI のカスタムエージェント (custom agents) は、エージェントの振る舞いを 1 つの Markdown ファイルに固める仕組みです。固める対象は、システムプロンプト・許可ツール・使用モデル・MCP 連携です。ファイルは .github/agents/<name>.agent.md という形で、リポジトリにコミットして使います。

個人がチャット欄に打ち込む使い捨てのプロンプトには、3 つの弱点があります。再現できません。共有できません。改善を積み上げられません。カスタムエージェントは、その指示を「ファイル」に変えます。これにより、チームで共有・レビュー・進化できるワークフローになります。公式 Blog はこれを 1 行で表します。

"From one-off prompts to workflows" (使い捨てプロンプトから、ワークフローへ)

価値の根拠も公式が明示します。

"Because the agent profile is a file in your repository, it can be reviewed, updated, and shared." (エージェントプロファイルはリポジトリ内のファイルなので、レビュー・更新・共有できます)

.agent.md は通常のコードと同じく PR の diff に乗ります。変更履歴も残ります。CODEOWNERS で所有者も割り当てられます。

ここで 1 点、立ち止まる価値があります。「リポジトリにコミットできること」と「それが組織知として機能すること」は、別の命題です。前者は反証できない機構的事実です。後者は前提条件に依存する含意で、無条件には成立しません。複数の実務記事・セキュリティ研究・GitHub Issue を突き合わせると、この差がはっきり見えます。本記事は、器 (.agent.md) としての仕様を正確に押さえます。そのうえで、それを組織知に変えるために何を足すべきかまで扱います。

リリース状況と対象プラン

対象プランは Copilot Pro / Pro+ / Business / Enterprise です。Business・Enterprise では、管理者が Policies ページで CLI を有効化します。Free プランは CLI 対象外です (GA 文言が Pro 以上のみを列挙)。

特徴

1. 定義は 1 ファイル、本文は最大 30,000 文字

カスタムエージェントは .github/agents/<name>.agent.md という形式のファイルで定義します。拡張子は .agent.md が正規表記です (設定リファレンスの dedup 記述では .md も認識されます)。ファイルは 2 部構成です。1 つは属性を宣言する YAML frontmatter です。もう 1 つはシステムプロンプトを書く Markdown 本文で、最大 30,000 文字です。設定リファレンスは "The prompt can be a maximum of 30,000 characters." と明記します。

frontmatter で宣言できるフィールドは以下のとおりです。

2. tools で能力境界を宣言的に絞る

tools フィールドは、エージェントが触れてよいツールの範囲を宣言的に制限します。セキュリティ設計の中核フィールドです。指定書式は設定リファレンスが次のように定めます。

• 全ツール有効: tools 省略、または tools: ["*"]
• allow リスト: tools: ["read", "edit", "search"]
• 全ツール無効: tools: []
• MCP ツール参照: サーバー名/ツール名 のプレフィックス形式

組み込みツールの正規名とエイリアスは以下のとおりです。

ここに重要な注意点があります。tools を省略すると、全ツール付与が既定になります。組織標準で配布するエージェントほど、tools の明示的な最小化が必要です。なお設定リファレンスで確認できるのは allow 方向の指定だけです。特定ツールだけを除外する deny-list 構文の公式記載は、現時点で確認できていません。ツール単位の除外は、後述する起動側フラグで行います。

3. 発火経路が 4 系統

カスタムエージェントの起動手段は 4 系統あります。

1. 明示フラグ (非対話): copilot --agent security-auditor --prompt "Check /src/app/validator.go"。ファイル名から .agent.md を除いた名称で指定します
2. 自然文での名指し: 「Use the security-auditor agent on all files in the /src/app directory」
3. 対話内 /agent コマンド: 一覧から選択して起動します
4. 自動推論 (inference): description の内容がタスク文脈に一致すると Copilot が自動選択します。disable-model-invocation: true で抑止できます

発火制御の 2 フィールドを組み合わせると、ポリシーをファイルに宣言できます。たとえば「人が選べるが自動では発火しない」「オーケストレーションからのみ呼ぶ内部エージェント」といった形です。

4. 実行時ガードは二層

セキュリティは二層で設計します。定義側の tools: がエージェントの能力境界を宣言します。起動側の CLI フラグが、都度承認なしに走ってよいコマンドを制御します。

最重要規則は deny の優先です。設定ドキュメントは "Deny rules always take precedence over allow rules, even when --allow-all is set." と明記します。deny は allow に常に優先し、--allow-all を設定しても deny が上書きします。対話時は、破壊的操作の前に「今回だけ / セッション中ずっと」の承認プロンプトが出ます。--allow-all (--yolo) は全自律化なので、自動実行での利用は慎重に扱います。

5. スコープは 3 層、配布は組織リポジトリ経由

エージェント定義ファイルの配置場所は 3 層です。

同名定義の dedup キーは、ファイル名から .md/.agent.md を除いた部分です。優先度は「個人 (ユーザー) > リポジトリ > 組織」の方向です (作成 How-to: "the one in your home directory will be used, rather than the one in the repository")。この仕組みにより、組織標準エージェントを {org}/.github で一元配布しつつ、各リポジトリや各個人がローカルで上書き微調整する重ね合わせが成立します。

なお組織レベルの正確なパスは、CLI 文脈 ({org}/.github) と cloud agent 文脈 (.github-private リポジトリの /agents/) でドキュメント表記が分かれています。公式間で表記揺れがある点に注意します。

6. custom instructions / skill との棲み分け

Copilot CLI には似た 3 つの仕組みがあります。公式の機能比較で棲み分けが明示されています。

公式の判断軸は次のとおりです。"When working on particular tasks, I want Copilot to operate as a specialist with a constrained toolset. → Custom agent"。特定タスクで、限定ツールセットを持つ専門家として動かしたいなら、カスタムエージェントを選びます。

構造

本節の C4 model は「カスタムエージェント機構の論理構造」に読み替えて適用します。

システムコンテキスト図

カスタムエージェント機構に関わるアクターと外部システムの全体像です。

コンテナ図

Copilot CLI 内部を主要な論理コンポーネントに分解します。

優先順位の表記には揺れがあります。公式間で「home > repo」「system > repository > organization」「lowest level takes precedence」の 3 表現が並存します。「個人/ローカル寄りが優先」という方向性は一致しますが、厳密な順序の公式確定版は現状未取得です (要現物確認)。

コンポーネント図

1 つの .agent.md がパースされ実行可能状態になるまでの内部フローです。

データ

概念モデル

情報モデル

model フィールドの許容値は、設定リファレンス本体には列挙がありません。supported-models ページに準拠します。本文プロンプトの上限は 30000 文字です。dedup キーは、ファイル名から .md/.agent.md を除いた部分です。例として accessibility.agent.md の dedup キーは accessibility です。同じ dedup キーが複数スコープにあると、最もローカル寄り (User > Repository > Org) が優先されます。

~/.copilot/mcp-config.json とエージェント内 mcp-servers の優先関係は、公式に明記がなく未確認です。type の許容値も、公式例に 'local' があるのみです。

構築方法

Copilot CLI のインストール・更新

npm install -g @github/copilot@latest

対象プランは Pro / Pro+ / Business / Enterprise です。Free は CLI 対象外です。Business / Enterprise では、管理者が Organizations/Enterprise の Policies ページで CLI を有効化します。カスタムエージェント固有の enterprise Policies トグルの有無は未確認です。

カスタムエージェントの作成 (2 通り)

方法 A は対話ウィザードです。copilot で対話モードを起動し、/agent を入力し、「Create new agent」を選びます。保存スコープ (リポジトリ / ユーザーホーム) を選ぶと雛形が生成されます。

方法 B はファイルの手書きです。.github/agents/<name>.agent.md を直接作成します。

mkdir -p .github/agents
touch .github/agents/security-auditor.agent.md

ファイル名 (.agent.md を除いた部分) がエージェント識別子になります。

.agent.md のフォーマット

最小例です。

---
description: 'セキュリティ脆弱性を検出する専門エージェント'
---

あなたはセキュリティ審査の専門家です。
指定されたファイルやディレクトリのコードを読み取り、CVE や OWASP Top 10 に照らした脆弱性を列挙してください。

description は必須です。省略するとエージェントが登録されません。本文は最大 30000 文字です。

実用例 1 は、読み取り専用のセキュリティ審査エージェントです。

---
name: 'Security Auditor'
description: 'OWASP Top 10 / CVE ベースのセキュリティ脆弱性検出エージェント'
tools: ['read', 'search', 'web']
disable-model-invocation: false
---

あなたは経験豊富なセキュリティエンジニアです。

## 役割
- 指定されたコードパスを read/search で調査
- OWASP Top 10 (2021) および既知の CVE に照らして脆弱性を検出
- 各発見事項について 場所 リスクレベル 修正案 を報告

## 制約
- コードの書き換えはしない (read 専用ワークフロー)
- 根拠が不明な脆弱性は「要確認」と明示

実用例 2 は、Kubernetes 運用エージェントです (二次情報: Jimmy Song ブログ参考)。

---
name: 'k8s'
description: 'Kubernetes クラスタの診断・マニフェスト修正を行う専門エージェント'
tools: ['read', 'search', 'edit', 'shell']
---

あなたは Kubernetes の専門家です。kubectl helm yq が利用可能な前提で作業します。

## できること
- クラスタの状態確認 kubectl get describe logs
- マニフェスト YAML の構文検査と修正
- Helm チャートのレンダリングと diff 確認

## 制約
- kubectl delete は実行前に必ずユーザー確認
- 本番クラスタへの apply は明示的な指示がある場合のみ

model フィールドの扱いには注意が必要です (要検証)。公式 GitHub Blog 例 (model: GPT-4.1) と Issue #2904 (model: claude-sonnet-4.5) は、CLI で model: を使う前提で記述します。一方、github/copilot-cli-for-beginners 教材には「model property は VS Code では効くが GitHub Copilot CLI では未サポート」との記載があります。両表記が矛盾します。学習教材が古い可能性が高いものの、CLI での動作は確認済みとは言えません。表示名形式 (GPT-4.1) と ID 形式 (claude-sonnet-4.5) のどちらで書くべきかも未確認です。

MCP サーバーをエージェントに同梱する

---
name: 'Issue Triage Agent'
description: 'GitHub Issues を自動トリアージして優先度ラベルを付けるエージェント'
tools: ['read', 'agent', 'issues-mcp/create_issue', 'issues-mcp/update_issue']
mcp-servers:
  issues-mcp:
    type: 'local'
    command: 'npx'
    args: ['-y', '@org/github-issues-mcp']
    tools: ['*']
    env:
      GITHUB_TOKEN: ${{ secrets.COPILOT_MCP_GITHUB_TOKEN }}
---

あなたは Issue トリアージの専門エージェントです。

type: local は、ローカルプロセスを起動する MCP サーバーを指定します。env の変数展開で使える主な構文は $NAME / ${NAME} / ${{ secrets.NAME }} / ${{ vars.NAME }} です。MCP ツールを tools: で参照するときは <サーバー名>/<ツール名> プレフィックスを使います (例: issues-mcp/create_issue)。mcp-servers は VS Code 等 IDE 版では無視されます (CLI / cloud agent 専用)。~/.copilot/mcp-config.json との優先関係は未確認です。

配置スコープと優先順位

優先順位は「ユーザー > リポジトリ > 組織」です。同名は dedup キー (拡張子を除いたファイル名) で、よりローカル寄りのレベルが優先されます。組織配布リポジトリが {org}/.github か .github-private かは公式間で表記揺れがあり、要現物確認です。

利用方法

4 つの起動方法

# 方法 1: コマンドラインフラグ (非対話・スクリプト向け)
copilot --agent security-auditor --prompt "Check /src/app/validator.go"
copilot --agent=refactor-agent --prompt "Refactor this code block"   # = 区切りも可

# 方法 2: 対話モードでスラッシュ選択 (一覧から選択)
/agent

# 方法 3: プロンプト内での自然文指名 (Copilot が自動推論)
Use the security-auditor agent to check /src/app/validator.go

# 方法 4: /agent で名前を直接指定
/agent k8s

--agent や /agent <名前> の値は、ファイル名から .agent.md を除いた部分です。方法 3 の自動推論は disable-model-invocation: true で抑止されます。

disable-model-invocation / user-invocable による発火制御

典型的な使い分けです。

# パターン A: 手動専用 (自動発火させたくない危険操作系)
disable-model-invocation: true
user-invocable: true

# パターン B: 内部オーケストレーション専用 (ユーザーには見せない sub-agent)
disable-model-invocation: false
user-invocable: false

# パターン C: 完全手動 + 非公開 (CI 専用エージェント等)
disable-model-invocation: true
user-invocable: false

--allow-tool / --deny-tool によるツール実行制御

エージェント定義の tools: は「能力の宣言」です。--allow-tool / --deny-tool は「起動時に都度承認なしで実行してよいか」を制御します。deny が常に allow より優先します。

# git 全操作を許可しつつ push だけ拒否
copilot --agent refactor-agent \
  --allow-tool='shell(git:*)' \
  --deny-tool='shell(git push)' \
  --prompt "このモジュールをリファクタリングして"

# ファイル書き込みを全拒否 (read-only 実行)
copilot --agent security-auditor --deny-tool=write --prompt "Check /src/app/ for vulnerabilities"

# 特定ファイルへの read と write だけ許可
copilot --agent doc-writer \
  --allow-tool='read, write(.github/copilot-instructions.md)' \
  --prompt "ドキュメントを更新して"

# MCP サーバーの特定ツールだけ許可
copilot --agent issue-triage \
  --allow-tool='MyMCP(create_issue), MyMCP(delete_issue)' \
  --prompt "Issue をトリアージして"

ここで渡す tool kind は、起動側 (--allow-tool/--deny-tool) の語彙です。frontmatter の tools: で使うエイリアス (execute/read/edit/search/agent/web/todo) とは別系統なので混同しないようにします。--allow-tool 側で使う種別は shell write read edit view grep glob web_fetch web_search です。MCP ツールは ServerName(subcommand_name) 構文です。

自動承認モードもあります。

copilot --allow-all-tools --agent my-agent --prompt "..."   # 全ツールの実行承認を省略
copilot --allow-all --agent my-agent --prompt "..."          # ツール パス URL を都度確認なし
copilot --yolo --agent my-agent --prompt "..."

対話中のスラッシュコマンドには /allow-all /yolo (全許可に切替) と /reset-allowed-tools (当該セッションで付与した全許可をリセット) があります。

/delegate TASK で Copilot coding agent に委譲する

/delegate Add unit tests for the auth module and open a PR

委譲の流れは次のとおりです (Changelog 2025-10-28)。未ステージの変更を新ブランチにコミットします。Copilot coding agent が draft PR を開きます。バックグラウンドで実行します。完了したらレビューを依頼します。長時間作業やリポジトリ全体を俯瞰する変更に向きます。

運用

エージェント定義を「コードとして変更管理」する

.github/agents/ を CODEOWNERS で特定チームに所有させます。branch ruleset で PR 必須と必須レビュアーを課します。tools: や disable-model-invocation: の変更は、実行権限や自動発火の変更を意味します。よって、権限変更レビューと同等のゲートとして扱います。

# .github/CODEOWNERS
.github/agents/   @your-org/agent-owners

GitHub Well-Architected "Governing agents in GitHub Enterprise" は原則を挙げます (二次情報)。エージェント生成物と同じ CI・セキュリティスキャン・レビューゲートを、定義ファイルにも適用し、例外を作りません。

CI で定義ファイルを lint する

.agent.md 専用の公式 linter は未確認です。汎用 YAML バリデータと GitHub Actions による PR ゲートで代替できます。検証項目は、YAML パース可否・description 必須かつ非空・本文 30000 文字以下・tools: 値が公式エイリアス集合に含まれること (typo 検出)・target: 値域・model: 形式です。

# .github/workflows/lint-agents.yml
name: Lint agent definitions
on:
  pull_request:
    paths:
      - ".github/agents/**"
jobs:
  lint:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Validate agent frontmatter
        run: |
          pip install pyyaml
          python3 .github/scripts/lint_agents.py

# .github/scripts/lint_agents.py
import sys, os, re, yaml

MAX_BODY_CHARS = 30000
VALID_TARGETS = {"vscode", "github-copilot"}
VALID_TOOLS = {
    "execute", "shell", "Bash", "powershell",
    "read", "Read", "NotebookRead", "view",
    "edit", "Edit", "MultiEdit", "Write", "NotebookEdit",
    "search", "Grep", "Glob",
    "agent", "custom-agent", "Task",
    "web", "WebSearch", "WebFetch",
    "todo", "TodoWrite", "*",
}
# 不可視 Unicode (Rules File Backdoor 対策): ZWSP/ZWNJ/ZWJ, bidi 制御, word joiner, BOM 等
INVISIBLE = re.compile("[​-‏‪-‮⁠-]")

errors = []
agents_dir = ".github/agents"
for fname in os.listdir(agents_dir):
    if not (fname.endswith(".agent.md") or fname.endswith(".md")):
        continue
    text = open(os.path.join(agents_dir, fname)).read()
    if INVISIBLE.search(text):
        errors.append(f"{fname}: invisible Unicode detected")
    m = re.match(r"^---\n(.*?)\n---\n(.*)", text, re.DOTALL)
    if not m:
        errors.append(f"{fname}: YAML frontmatter not found"); continue
    try:
        fm = yaml.safe_load(m.group(1))
    except yaml.YAMLError as e:
        errors.append(f"{fname}: YAML parse error: {e}"); continue
    if not fm.get("description"):
        errors.append(f"{fname}: 'description' is required")
    if len(m.group(2)) > MAX_BODY_CHARS:
        errors.append(f"{fname}: body exceeds {MAX_BODY_CHARS} chars")
    target = fm.get("target")
    if target and target not in VALID_TARGETS:
        errors.append(f"{fname}: invalid target '{target}'")
    tools = fm.get("tools")
    if isinstance(tools, str):
        tools = [t.strip() for t in tools.split(",")]
    for t in (tools or []):
        t = t.strip().strip('"').strip("'")
        if "/" not in t and t not in VALID_TOOLS:
            errors.append(f"{fname}: unknown tool '{t}'")

if errors:
    for e in errors:
        print(f"ERROR: {e}", file=sys.stderr)
    sys.exit(1)
print("All agent definitions passed lint.")

ツール名セットは、公式 configuration reference に合わせて更新します。不可視 Unicode スキャンは、後述する Rules File Backdoor 対策として必ず含めます。

組織配布と precedence による標準 + ローカル上書き

組織標準エージェントを .github-private (または {org}/.github) リポジトリのルート agents/ に置くと、全リポへ可視化されます。同名を各リポの .github/agents/ に置けば、ローカルで上書きできます (ユーザー > リポジトリ > 組織)。組織配布先が .github か .github-private かは公式間で表記揺れがあり、実機確認が必要です。

実行時ガード: --deny-tool と --allow-all の扱い

deny が常に allow より優先します (公式: "Deny rules always take precedence over allow rules, even when --allow-all is set.")。CI や自動実行での --allow-all / --yolo は、破壊的操作を無制限に通過させます。よって、必ず --deny-tool で破壊的操作を明示ブロックしてから使います。--available-tools='bash,edit,view,grep,glob' で、使えるツール自体を絞ることもできます。

ベストプラクティス

各項目を「誤解 → 反証 → 推奨」の構造で示します。機構的事実 (版管理・レビュー・共有ができる) は反証されません。崩れるのは「だから組織知として有効に機能する」という含意です。

能動メンテ前提で定義を置く — stale 定義は「無いより悪い」

• 誤解: 一度コミットすれば組織知になり、以後は放置できる
• 反証: 複数の実務記事が「stale な context file は無いより悪い。陳腐化した構造参照はエージェントを積極的にミスリードする」と指摘 (二次情報)。指示ファイルは通常のドキュメント同様に腐ります
• 推奨: 定義を CODEOWNERS で所有チームに割り当て、メンテ責任を明示。参照するパス・ツール名・API 仕様が変わったら定義を追従させるタスクをバックログに入れる。使われない定義は削除

500 行超の定義は無視されがち — 最小限に保つ

• 誤解: 細かく書き込むほど正確に従う
• 反証: 「定義が 500 行を超えると大半が無視される。指示を増やすほど従う数が減る逆説がある」「乱立する定義ファイルは人にも AI にも管理不能になる」(二次情報)
• 推奨: 1 エージェントの本文は実質 200〜300 行以内を目安に。「何をさせるか」を 1 文で書けないなら分割を検討

最小権限 tools — tools 省略に頼らない

• 誤解: tools を省略すれば全ツール有効になり、必要に応じて使うので問題ない
• 反証: 省略や ["*"] は全ツール付与が既定。プロンプトインジェクション成功時に攻撃者が全ツールを操作でき被害が増幅。OWASP AI Agent Security Cheat Sheet も最小権限を要求 (二次情報)
• 推奨: 目的に必要なツールのみ明示リスト (読み取り専用レビューなら tools: ["read", "search", "web"])。execute/shell は原則省略し、必要時のみ追加して --deny-tool でコマンドを絞る

不可視 Unicode を CI でスキャンする — PR レビューだけに頼らない

• 誤解: PR レビューで人間が目視確認すれば Rules File Backdoor を防げる
• 反証: zero-width joiner 等の不可視 Unicode を定義ファイルに埋めると、レビュアーには見えない悪意ある指示を AI に注入できる。ベンダー (GitHub / Cursor) は「利用者が内容を確認する責任がある」として脆弱性と認定していない (二次情報)。汚染された定義ファイルは fork にも伝播
• 推奨: 上記 CI lint の不可視 Unicode スキャンを必ず含める。外部リポジトリから定義を取り込む場合は取り込み時にスキャン

モデル評価セットを用意する — model 固定でも版で挙動が変わる

• 誤解: 仮に model: が CLI で有効だとして、model: GPT-4.1 のようにモデルを固定すれば挙動が再現する
• 反証: LLM はモデル版更新・セッション長・コンテキスト量で挙動が変わる。「定義に書いたハード要件を LLM はサイレントに落とす」(二次情報)
• 推奨: モデル版更新のたびに実行する回帰評価セット (入力と期待出力のペアに自動 assert) を用意。model: の識別子表記は supported-models ページで現行の許容値を確認。per-agent reasoning effort は未対応 (Issue #2904)

AGENTS.md 標準を併用してロックインを抑える

• 誤解: .agent.md に集約すれば組織全体の AI エージェント標準化が達成できる
• 反証: .agent.md の frontmatter (target/disable-model-invocation/mcp-servers 等) は GitHub Copilot 固有フォーマット。業界中立の AGENTS.md (OpenAI 提案 → Linux Foundation 寄贈、2026-05 時点で主要エージェントがネイティブ対応、60,000+ リポで採用) には乗らない (二次情報)。Codex / Gemini CLI / Cursor は Copilot 固有フィールドを解釈しない
• 推奨: リポジトリの基本コンテキストや規約は AGENTS.md に書き、Copilot 固有の高度な制御のみ .agent.md に書く。ツール多様性のある組織では、固有スキーマへの過剰投資がロックインと多重メンテを招く点を認識

トラブルシューティング

既知 Issue (GitHub Copilot CLI — GA 後)

各 Issue の state は gh issue view による実機確認済みです (検索サマリの state より gh 出力を正とします)。

対応の指針です。#1990 では、builtin エージェントを多用する場合に copilot-instructions.md の設定を併用します。「リポにコミットした指示が組み込みエージェント経由では効かない」点に注意します。#2569 では、自動オーケストレーションで同一タスクへの多重実行が起こっていないかログ確認します。#452 では、GA 前後の版を使っている場合に npm install -g @github/copilot@latest で更新すると、ユーザーレベル定義が正しく読み込まれます。#2904 では、effort のエージェント単位設定が未対応です。model: claude-sonnet-4.5@high 構文案が提案中ですが、2026-06-10 時点で未実装です。

セキュリティ: 既知の脆弱性・攻撃クラス

CVE-2025-53773 (NVD 一次確認済み)

攻撃の仕組みです。ソースコードや web ページや issue やツール応答に埋め込まれたプロンプトインジェクションが、エージェントに .vscode/settings.json の "chat.tools.autoApprove": true を書き込ませます。以後の全確認をスキップさせ、ターミナルコマンドを実行させます。「感染した Git リポジトリを通じて広がるウイルス」として自己増殖性が報告されています (二次情報: Embrace The Red)。

Rules File Backdoor / TRA-2025-53 (いずれも CVE 未付与)

Rules File Backdoor は、zero-width joiner 等の不可視 Unicode を rules / instruction ファイルに埋め込む攻撃です。レビュアーには見えない悪意ある指示を AI に注入します。汚染された定義ファイルは fork を通じて伝播し、供給網攻撃のキャリアになります。GitHub は CVE 化せず、「ユーザーが内容を確認する責任がある」としました (Cursor も同様)。GitHub は 2025-05 に github.com 上での不可視文字警告表示を追加しましたが、緩和のみで根治ではありません (二次情報)。

TRA-2025-53 (Tenable) の影響条件は、GitHub Copilot Chat 0.28.0 / macOS Sequoia 15.5 / VS Code 1.101.2 / Agent mode / Claude Sonnet 4 です。悪意あるファイル名に AI への指示を埋め込み、ファイル名がプロンプトに連結される際に Copilot が指示に従います。被害者が clone する前にリポジトリへ仕込めます。ベンダー対応は「Workspace Trust 機能で緩和するため脆弱性ではない。修正しない」です。CVE は未付与です。

共通の対策です。CI lint に不可視 Unicode スキャンを必ず含めます。外部由来のエージェント定義は取り込み時にスキャンします。tools: を最小権限にして、インジェクション成功時の被害範囲を限定します。

まとめ

GitHub Copilot CLI のカスタムエージェントは、エージェントの振る舞いを .agent.md ファイルとしてリポジトリにコミットし、PR レビュー・CI・組織配布で変更管理する仕組みです。ただし「コミットできる」ことは出発点にすぎず、組織知として機能させるには能動メンテ・最小権限・不可視文字スキャン・モデル評価・AGENTS.md 標準併用という運用設計を足す必要があります。

この記事が少しでも参考になった、あるいは改善点などがあれば、ぜひリアクションやコメント、SNSでのシェアをいただけると励みになります！

参考リンク

• 公式ドキュメント
  • From one-off prompts to workflows: How to use custom agents in GitHub Copilot CLI
  • Custom agents configuration
  • Create custom agents for CLI
  • Invoke custom agents
  • Comparing CLI features
  • Allowing tools
  • About custom agents (cloud agent)
  • GitHub Copilot CLI: Use custom agents and delegate to Copilot coding agent (Changelog 2025-10-28)
  • GitHub Copilot CLI is now generally available (Changelog 2026-02-25)
  • NVD CVE-2025-53773
• GitHub
  • copilot-cli#1990
  • copilot-cli#2569
  • copilot-cli#452
  • copilot-cli#2904
  • AGENTS.md
• 記事
  • Tenable TRA-2025-53
  • Pillar Security: Rules File Backdoor
  • Embrace The Red: GitHub Copilot RCE via prompt injection
  • Tessl: From prompts to AGENTS.md
  • DeployHQ: CLAUDE.md, AGENTS.md, and every AI config file explained
  • OWASP: AI Agent Security Cheat Sheet