サイモン・ウィリソンズ・ウェブログ (Simon Willison's Weblog) は8月27日(現地時間)、米AIスタートアップ Anthropic (アンソロピック) がプロンプト・インジェクション攻撃からの保護策として重視する「Claude Code (クロード・コード) Auto Mode (オート・モード)」に、セキュリティ研究者が攻撃手法を発見したと報じた。この機能はAnthropicがデフォルト設定としており、その有効性を強調していた。
プロンプト・インジェクション研究者のヨハン・レーバーガー (Johann Rehberger) 氏が開発したこの攻撃手法は、Claude Codeを誘導し、不正なzipアーカイブをダウンロード・解凍させ、そこから抽出されたローカルファイル (struct.py) を実行させるというものだ。レーバーガー氏はこの攻撃が80%の確率で成功すると主張している。
複数の実験では、Auto Modeが有害なコードの実行を直接的に妨げた事例も確認されている。しかし、Claude自体が侵害を認識し、マルウェアプロセスを終了させようとした際に、Auto Modeがそのクリーンアップコマンドを拒否するケースが発生した。これにより、システム安全性のためのメカニズム自体が、システムの障害の一部となる可能性が指摘されている。分類器がマルウェアプロセスの作成を一度許可したにもかかわらず、その後の停止を意図したコマンドをブロックするという矛盾が生じた。
レーバーガー氏は、敵対的な攻撃のリスクがある状況でAIエージェントを安全に実行する唯一の方法として、サンドボックス環境の活用を提言する。具体的には、コンテナ、仮想マシン (VM)、またはOSサンドボックス内で無人コーディングエージェントを実行し、外部へのネットワーク接続 (egress) を厳しく制限する必要があるとしている。さらに、エージェントの活動を継続的に監視することや、ホームディレクトリ、SSHキー、クラウド資格情報といった機密情報をエージェントの実行環境に公開しないよう強く呼びかけている。
参考: Simon Willison’s Weblog — 2026年8月28日 07:50 (JST)