Claude Code Auto Modeを回避する攻撃、研究者が実証

何が起きたか

AnthropicのClaude Codeは、AIエージェントがターミナル上でコードを実行するためのツールです。その中でAuto Modeは、プロンプトインジェクション攻撃からエージェントを保護するための仕組みとして導入されました。このAuto Modeは最近デフォルトになり、Anthropicはその有効性に強い自信を見せています。

しかし、研究者のJohann Rehberger氏はこのAuto Modeを80%の確率で回避できる攻撃を発見しました。この攻撃は、外部から悪意のある指示を埋め込むプロンプトインジェクション攻撃に対する防御が、実際には十分でないことを示しています。現時点で、この攻撃がどの程度の範囲に影響するかはまだ完全には明らかになっていません。

攻撃の仕組み

Rehberger氏の攻撃は、Claude Codeにzipアーカイブをダウンロードさせ、解凍させるところから始まります。そのアーカイブには、Pythonの標準ライブラリと同名のstruct.pyが含まれています。このファイルが正常なimport処理に乗じて実行されるのがポイントです。

その後のコード実行で、エージェントがbase64をインポートしようとすると、Pythonのimport解決順により、ローカルのstruct.pyが先に読み込まれて実行されます。これにより、攻撃者が仕込んだコードが実行される仕組みです。この攻撃はPythonのモジュールシャドウイングとして知られる手法です。

さらに、攻撃が成功した一部のケースでは、Claudeがマルウェアを終了させようとした際に、Auto Modeがそのクリーンアップコマンドを拒否しました。つまり、安全を守るための仕組み自体が被害の拡大に加担したことになります。分類器がマルウェアの作成を許可しながら、それを止めるためのコマンドをブロックしたという点は、安全機構の設計に一石を投じるものです。

なぜ問題か

Simon Willison氏はこの結果に対して、Rehberger氏の結論に同意しています。エージェントを攻撃のリスクがある状況で実行する場合、Auto Modeだけに頼るのではなく、サンドボックス環境が唯一の安全な方法だと指摘しています。この見解は、開発者の間で広く共有される可能性があります。

具体的には、無人で動くコーディングエージェントをコンテナやVM、OSサンドボックス内で実行し、ネットワーク送信を制限することが求められます。また、監視を徹底し、ホームディレクトリやSSHキー、クラウド認証情報などをエージェントの実行環境に露出させないことが重要です。これらの対策は、たとえAuto Modeが攻撃を防げなくても、被害を局所化するのに役立ちます。

残る不明点

この記事はリンクブログであり、攻撃の詳細や影響を受けるバージョンなどは元のRehberger氏の記事にゆだねられています。現時点では、80%という成功率がどのような条件下で計測されたのかなど、検証に必要な情報は公開されていません。また、この攻撃がClaude Codeの特定のバージョンに依存するのかどうかも不明です。

また、Auto Modeが攻撃を防げないという結果は、AIエージェントの安全性を考える上で重要な教訓を提供します。安全機構は単独では完全ではなく、多層的な対策が必要だという認識が広がりつつあります。今後のアップデートでAuto Modeが改善されるかどうかは、現時点では明らかにされていません。