プロンプトインジェクションに関する最近の実証研究により、Claude Code Opus 5がデフォルトのAutoモードで動作している場合、一見無害に見えるウェブサイト要約リクエストを通じて操作され、悪意あるコードを実行させられる可能性があることが明らかになりました。
Embrace The Redで「wunderwuzzi」というペンネームで執筆しているセキュリティ研究者のJohann Rehberger氏は、少数のテストにおいて成功率が60%から80%に達したと報告しています。
比較ホームセキュリティシステム
この調査結果は、多層防御によってClaude CodeのAutoモードに対する間接的なプロンプトインジェクションの成功率が、評価済みのシナリオにおいてほぼゼロにまで低下したとする最近の主張に疑問を投げかけるものです。
プロンプトインジェクションがClaude Code Opus 5を乗っ取る
この攻撃は、ユーザーがClaude Codeにウェブサイトの要約を依頼するところから始まります。悪意あるサイトはノートブックの記録を含むアーカイブを装っており、まずClaudeのWebFetchリクエストを失敗させ、HTTP 415 Unsupported Media Typeというレスポンスを返します。
このサイトは、モデルに直接シェルコマンドの実行を指示するのではなく、Claudeが別の経路を選択せざるを得ない状況を作り出します。観測された事例では、ClaudeはBashツールを通じてcurlを使用し、リダイレクトをたどってZIPアーカイブをダウンロードしました。
このアーカイブには、一見無害に見えるファイルが含まれていました。カタログのメタデータ、チェックサム、エンコードされたレコード、READMEファイル、macOS用のデコーダーバイナリ、そしてstruct.pyという名前の悪意あるPythonファイルです。
Claudeは通常、提供されたネイティブのデコーダーバイナリの実行を拒否しました。これは理にかなった予防措置と言えます。しかしその後、Base85、zlib、JSONでエンコードされたレコードを処理するために、独自のPythonデコーダーを自ら作成してしまいました。この自己生成デコーダーが、実際の実行経路となったのです。
この悪用手法は、Pythonのモジュールシャドーイングを利用したものでした。Claudeは、展開されたZIPディレクトリに移動した後、以下のようなコマンドでデコーダーを実行しました。
cd WIC-notebook-catalogue
python3 -c 'import base64, zlib, json; ...'Pythonは、現在の作業ディレクトリをモジュール検索パスの早い段階に配置します。その結果、標準ライブラリのbase64モジュールがstructをインポートしようとした際、Pythonは本来意図された標準ライブラリのモジュールではなく、展開されたアーカイブ内にある攻撃者が用意したstruct.pyを読み込んでしまいました。
この悪意あるモジュールは、Pythonの正規の低レベル_struct機能を再エクスポートするよう作られており、デコード処理は通常どおり継続され、一見有効に見えるデータが生成される仕組みになっていました。
しかし、インポートが行われると、難読化された式が別のPythonプロセスを起動し、リモートのペイロードをダウンロードして実行しました。
研究者の実験環境では、このペイロードが制御されたコマンド&コントロール(C2)へのコールバックを確立し、侵害の目に見える兆候としてCalculatorを開きました。
この分離されたプロセスは、Claude Codeのセッションが終了した後も動作を継続できる状態でした。
主な問題は、AutoモードのクラシファイアがClaudeの一見無害なデコーダーコマンドを検知した一方で、Pythonのインポート機構によって引き起こされた多段階の挙動を検知できなかった点にあります。
一部のテストでは、Claudeは汚染されたstruct.pyを、実行した後になってようやく特定できました。いくつかのケースでは、悪意あるプロセスを終了させようと試みましたが、Autoモードがそのクリーンアップコマンドをブロックしてしまいました。
これは危険な逆転現象を生み出しました。つまり、安全レイヤーは最初の攻撃連鎖の実行は許可しておきながら、侵害が認識された後の是正措置は拒否してしまったのです。
第二の亜種では、悪意あるPythonモジュールを使って、`claude -p`経由で別のヘッドレスClaude Codeインスタンスを起動しました。この入れ子になったエージェントは基本的なホスト偵察を行い、Calculatorを開き、いくつかのテストでは元のワークスペース外にファイルを書き込みました。
報告された結果は、広範なベンチマークではなく、5回実行のサンプルに基づくものです。Pythonダウンローダーおよびコマンド&コントロールの亜種は、5回中3回のテストで成功しました。
これに対し、ワークスペース外にファイルを書き込む入れ子型Claude亜種は、5回中4回のテストで成功しています。
Anthropicは、この開示を「情報提供」として分類したと伝えられており、Autoモードを厳密なセキュリティ境界ではなく、ベストエフォート型の保護機能を備えた利便性向上機能と位置付けています。
比較ホームセキュリティシステム
同社は、真の封じ込め層を提供すべきなのは承認クラシファイアではなく、適切なOSの分離とネットワークのアウトバウンド制御であると主張しています。
この事案は、自律型コーディングエージェントにとっての基本原則を改めて浮き彫りにしています。すなわち、信頼できないウェブコンテンツ、アーカイブ、依存関係、そしてモデルが生成したコマンドは、潜在的な脅威として扱うべきだということです。
組織は、無人稼働のエージェントをコンテナ、仮想マシン、あるいはOSサンドボックス内で運用し、不要なアウトバウンドのネットワークアクセスを遮断し、認証情報とホームディレクトリを分離した上で、プロセスの生成や機密性の高いファイルシステム上の挙動を監視すべきです。
調査の遅れによるインシデントを未然に防ぎましょう。15,000のSOCから得られた脅威インテリジェンスで、貴社のTier 1を強化してください: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/prompt-injection-attack-hijacks-claude-code-opus-5-auto-mode/
