Claude Code オートモードに約 80% の攻撃手法が発見

2026 年 8 月 27 日 - Link Blog

[Claude Code Opus 5 の自動モードを突破する](https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/)。Anthropic は、コーディングエージェントのユーザーをプロンプトインジェクション攻撃から守るため、Claude Code の自動モードに大きな期待を寄せています。最近ではこれをデフォルト設定とし、その有効性について大胆な主張を行いました。

現在活動している最も信頼性の高いプロンプトインジェクション研究者の一人である Johann Rehberger 氏は、自動モードに対する攻撃手法を発見しました。この攻撃は約 80% の確率で成功し、Claude Code をだまして zip アーカイブをダウンロード・展開させます。その後、base64 をインポートするコードを実行させることで、アーカイブから抽出されたローカルの struct.py ファイルが意図せずインポート・実行されてしまうというものです。

いくつかのケースでは、自動モードがかえってエージェントによる有害なコードの実行停止を妨げてしまいました！

数回の試行のうち、Claude はマルウェアプロセスを検知して終了を試みましたが、自動モードはクリーンアップコマンドを拒否しました。Claude は侵害を検知していますが、自動モードがその対応コマンドをブロックします。セキュリティ機構自体が失敗の一部となってしまうのです。分類器はマルウェアプロセスの作成を許可したものの、それを停止させるべきコマンドまで阻止してしまいました。

Johann の結論に私は同意します。敵対的な攻撃の標的となるリスクがある場合、エージェントを実行する唯一安全な方法はサンドボックスを利用することです。

コンテナ、仮想マシン、OS のサンドボックス内で無人でコードエージェントを実行できます。ネットワークの外部通信を制限し、エージェントの動作を監視してください。また、ホームディレクトリ、SSH キー、クラウド認証情報などをエージェント実行環境に曝出しないように注意してください。