Claude Code オートモードに脆弱性、80% 成功率の攻撃発見

Claude Code Opus 5 の自動モードを突破する

Anthropic は、コーディングエージェントのユーザーがプロンプトインジェクション攻撃から守られるよう、Claude Code の自動モードに大きな期待を寄せています。同社は最近、これをデフォルト設定にし、その有効性について大胆な主張を行いました。

現在活動している最も信頼性の高いプロンプトインジェクション研究者の一人であるヨハン・レハーバー氏は、自動モードに対する攻撃手法を発見しました。この攻撃は約 80% の成功率を誇り、Claude Code をだまして zip アーカイブのダウンロードと展開を行わせ、その中に含まれる base64 モジュールを読み込ませることで、アーカイブから抽出されたローカルの struct.py ファイルを実行させてしまいます。この際、ユーザーは悪意あるコードの実行に気づきません。

いくつかのケースでは、自動モードが有害なコードの実行を阻止しようとするエージェント自体の動きさえも妨げてしまいました！

数回の試行において、Claude は侵害を検知するとマルウェアプロセスの終了を試みましたが、自動モードはクリーンアップコマンドを拒否しました。Claude は侵害を検知していますが、自動モードがその対処命令をブロックします。この安全性メカニズム自体が失敗の一部となってしまうのです。分類器はマルウェアプロセスの作成を許可しましたが、その後それを停止させるべきコマンドをブロックしてしまいました！

私はヨハンの結論に同意します。敵対的な攻撃の標的となるリスクがある場合、エージェントを実行する唯一安全な方法はサンドボックスを利用することです。

コンテナ、仮想マシン、OS のサンドボックス内で無人のコーディングエージェントを実行できます。ネットワークの外部通信を制限し、エージェントの動作を監視してください。また、ホームディレクトリ、SSH キー、クラウド認証情報などをエージェントの実行環境に公開しないように注意してください。

タグ: sandboxing, security, ai, prompt-injection, generative-ai, llms, anthropic, claude, johann-rehberger, claude-code