Claude や Codex が企業ネットワークに未承認コードをインストールする脆弱性が発覚

100 社以上のウェブサイトに掲載されたドキュメントファイルには、AI エージェントが訪問した際に自動的に実行される危険な実行可能コンテンツへの参照が含まれています。Fortune 500 企業を含む数十社の企業が、この概念実証コードを実行しました。少なくとも 1 つのサイトは設定ミスにより、人間か AI かを問わず訪問者を生きたマルウェアへ誘導しています。

この潜在的に危険なコンテンツは、llms.txt および llms-full.txt ファイルに含まれています。これらのファイルは、サイトのコンテンツと高レベル構造を機械可読形式で提供するためにウェブサイトで採用されつつある新しい規約です。これらは、検索エンジンに対してサイト内のコンテンツをどのようにインデックスすべきか指示する「robots.txt」標準の AI 版と言えます。Web 開発者を支援するためのツールである Google Lighthouse の詳細は こちらをご参照ください。Cloudflare 向けに正しく設定された llms.txt および llms-full.txt ファイルは、それぞれ こちら と こちら にあります。

研究者がこれを見つけ出した経緯

イスラエルの非公開スタートアップに所属する研究者らが、防衛請負業者やフォーチュン500 企業、大手テック企業のドメイン 6,214 をスキャンしました。その結果見つかった llms.txt および llms-full.txt ファイルは合計 8,265 件（多くのサイトで両方がホストされていました）にのぼりますが、そのうち 120 件が、それぞれ異なるサイト上で、未登録のコードパッケージやドメイン名を指し示していました。

AI エージェントがこうしたファイルを処理した際に何が起こるかを検証するため、研究者らはいくつかの未使用ドメインを取得し、それらを実行するマシンが自らのサーバーへ通信を引き起こすようなパッケージをホストしました。するとわずか 1 時間以内に、フォーチュン500 企業から「電話回家（phone-home）」の応答が寄せられました。その後、さらに数十件の応答が得られ、その中には他のフォーチュン500 企業やスタートアップからのものも含まれていました。

このビーコンは各インストールを引き起こした親プロセスの連鎖を記録し、最終的に Claude、OpenAI の Codex、Nous Research の Hermes などを含むコーディングエージェントが関与していることを明らかにしました。発表時点において、Anthropic、OpenAI、および Nous Research はコメント依頼に対して回答していません。

記事全文を読む

コメント