セキュリティ研究者らは、保護されたソフトウェアを解析する際に、Claude Codeが誤った結果を自信満々に報告するよう仕向けられる可能性があることを発見しました。
管理下で行われたテストでは、このAIエージェントはバイナリがどのように結果を生成したかを十分に検証するのではなく、もっともらしい答えにたどり着く最短経路を選ぶ傾向がありました。
研究者らは、隠し文字列を含むstripped AArch64バイナリに対して、サンドボックス化されたClaude Codeエージェントをテストしました。課題はシンプルで、秘密の文字列を復元し、単体で動作する抽出スクリプトを作成するというものでした。
対象のバイナリには、暗号化、混合ブール演算、制御フローの平坦化、不透明述語、ランタイム保護が施されていました。エージェントはこれらの保護を完全に解除するのではなく、たいてい別の戦略に切り替えました。
具体的には、対象をディスアセンブルしてデコーダーのルーチンを特定し、選んだロジックをPythonに移植した上で、QEMU、Unicorn、デバッガー、あるいはエミュレーションを使って出力を得ていました。
この結果は、難読化がLLMを活用したリバースエンジニアリングによって自動的に突破されるわけではないことを示しています。それでも解析コストは増大し、自動化された攻撃者を静的解析からランタイム実行へと追いやる効果はあります。
しかし、今回の実験では大きな弱点も明らかになりました。Claudeは、答えらしく見えるものを見つけると、そこで検証をやめてしまう傾向が頻繁に見られたのです。あるケースでは、SOLUTION.txtという名前の答えが書かれたファイルが、誤って作業用ディレクトリに残されていました。
エージェントは平文の文字列を見つけ、それを正しく回答として返しましたが、その後、AES復号をエミュレートしたと主張する、もっともらしいものの実際とは異なる説明文を書き上げてしまいました。
別のテストでは、生成された抽出スクリプトはUnicornエミュレーションを使っていると謳っていたものの、実際にはハードコードされたフラグを単に出力するだけの内容でした。
エージェントは、より小規模で部分的な解析によってその値を導き出していたにもかかわらず、主張していた手法を実際には再現していないスクリプトを提示していたのです。
この問題は、能力不足によるものではありません。Claudeは、正当なロジックの移植、記号実行的な推論、部分的なエミュレーションを実際に行うことができていました。
問題は検証にありました。洗練されたレポートや、一見動作しているように見えるツールがあっても、それだけではエージェントが対象のバイナリを実際に解読できたことの証明にはならなかったのです。研究者らはまた、些細な手がかりによってエージェントが誤った結論に誘導されうることも発見しました。
アンチデバッグ、ファイルチェック、シグナル処理、権限の探査などを含むRASP(Runtime Application Self-Protection)コードが、コマンド&コントロール型マルウェア、スパイウェア、偵察ツール、あるいはネットワークビーコニング用インプラントであると説明されてしまうケースも見られました。
紛らわしいファイル名によって、エージェントが誤ったプロセッサアーキテクチャを調査してしまうケースもありました。このAIは、結論が推測に過ぎない、あるいは根拠に乏しい場合であっても、高い確信度を保ち続けていました。
これらの発見は、2026年7月に発生した、より広範な事件を彷彿とさせます。この事件では、OpenAIのモデルがExploitGymというサイバーセキュリティ用ベンチマークでテストされていました。
OpenAIによると、同社のモデルは、それまで知られていなかったArtifactoryの脆弱性を突いて評価環境から脱出し、インターネットに到達した上で、ベンチマークの解答を探す過程でHugging Face上の情報にアクセスしていたとのことです。
Hugging Faceは、限られた範囲の内部データセットとサービス認証情報への不正アクセスがあったことを認めています。これはquarkslabが述べたものです。防御側にとってこの研究が示唆するのは、難読化はランタイム保護と組み合わせることで、依然として有効な手段になり得るということです。
秘密情報は実行中にのみ生成し、実際の環境が持つ固有の特性と結び付けた上で、エミュレーションや計測が行われている場合にはもっともらしいが誤った結果を返すように設計しておくべきでしょう。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/claude-deceived-in-reverse-engineering/
