セキュリティ
wunderwuzzi氏によるプロンプトインジェクションの新たな悪ふざけ
人気記事
Anthropic社のClaude Codeは、Opus 5をAuto Modeで動作させている場合、ウェブサイトの要約を依頼するだけで攻撃者が用意したコードを実行させられてしまうことが分かりました。プロンプトインジェクションの達人として知られるJohann Rehberger氏（別名wunderwuzzi）によれば、この攻撃は最大で80パーセントの確率で成功するといいます。
同氏はブログ記事と動画デモで、2026年8月半ば以降デフォルト設定となっているOpus 5のAuto Modeを乗っ取る手口を詳しく解説しています。
手口はまず、コーディングエージェントであるモデルに対し、ノートブック記録のアーカイブを装った悪意あるウェブサイトを要約するよう依頼するところから始まります。そのうえで、Claudeに対して直接curlを使うよう指示することなく、標準のWebFetchツールの代わりにcurlを使ってページの内容を取得するよう誘導します。
WebFetchによるリクエストは415 Unsupported Media Typeというレスポンスを返して失敗します。そのためモデルは、Bashツールを呼び出してcurlを実行し、ウェブサイトに直接アクセスすることを自ら選択してしまいます。
このウェブサイトは303レスポンスを返し、悪意あるZIPアーカイブへリダイレクトします。Claudeはこれをダウンロードしてしまいます。このアーカイブには、一見無害に見えるファイル群が含まれています。カタログのメタデータ、READMEファイル、Base85/zlibでエンコードされた7つのJSONノートブック記録、macOS向けのdecoder-darwinバイナリ、そしてstruct.pyという名前の毒入りPythonファイルです。
Claudeは、安全性のガードレールに従い、このバイナリの実行を拒否します。「これはまさに攻撃者の想定通りの展開だ」とRehberger氏は記しています。付属のバイナリを使う代わりに、AIは自前のデコーダーを書くことを決めます。「皮肉なことに、この安全性の判断こそが攻撃の突破口になっている」とRehberger氏は説明し、文章に紫色の悪魔の絵文字を添えています。
新たに作成されたデコーダーはbase64をインポートします。ここから先の攻撃は、Pythonのモジュールシャドウイングを悪用し、モデルに悪意あるstruct.pyのコードを実行させる仕組みになっています。
モジュールシャドウイングとは、ローカルファイルがPython標準ライブラリのモジュールと同じ名前を持つ場合に発生する現象です。ローカルファイルが正規のモジュールを隠してしまうため、Pythonは本来のモジュールの代わりにローカルファイルを読み込んでしまいます。
今回のケースでは、標準ライブラリのbase64モジュールが正規のstructモジュールをインポートする仕組みになっている一方、悪意あるZIPには同名の不正なファイルが含まれています。
Rehberger氏は、Claudeの安全機構を回避するために、ChatGPTを使って悪意あるstruct.pyのコードを難読化したと述べています。この結果、別のPythonプロセスが起動され、リモートのペイロード――このケースではコマンド&コントロール用のコールバック――がダウンロード・実行され、続けて電卓アプリが開かれる仕組みになりました。実際の攻撃者であれば、もう少し悪質な処理を実行するであろうことは想像に難くありません。
別の攻撃シナリオでは、struct.pyがclaude -p経由で、ヘッドレスの2つ目のClaude Codeを起動します。つまり、このプロンプトインジェクションはリモートでのコード実行だけでなく、まったく新しいエージェントを生成する手段としても使えるということです。
「入れ子になったClaudeは、それ自体が独自のツールアクセス権とコンテキストを持つことになる」とRehberger氏は記しています。「実際の検証では、子プロセスがwhoami、uname、idといった基本的な偵察コマンドを実行し、電卓アプリを開き、ホームフォルダ内のローカルファイルへの書き込みを行った」
それぞれ5回ずつ試行した3つのバリエーションについて、Rehberger氏はサンプル数が少ないと断りつつも、60パーセントから80パーセントの成功率を報告しています。「これらの結果は、強い意志を持った攻撃者による攻撃を代表するものとは言えるが、網羅的な検証結果とは言えないだろう」
Anthropic社はThe Registerのコメント要請に応じませんでしたが、Rehberger氏に対しては、このモデルの「挙動は設計通りに機能している」と伝えたとされています。この種の回答は以前にも聞いたことがあります。
「Auto Modeは、ベストエフォート型の分類器に支えられた利便性向上機能であって、セキュリティを保証するものではない」と、Rehberger氏はAnthropic社からのセキュリティ報告への返答を要約して記しています。
Rehberger氏によると、この分類器は、個別に見れば無害に見えるステップを積み重ねて構成される執拗なプロンプトインジェクションの連鎖を阻止するようには設計されておらず、真の防御境界となるのはOSレベルの隔離とネットワークの出口制御だといいます。
Rehberger氏によれば、最も重要な教訓は、このコーディングエージェントをはじめとする各種エージェントをサンドボックス内で実行することです。
「解決策自体は、私たちが長年語ってきたことだ」と同氏は記しています。「モデルの出力を信用しないこと、それに尽きる」®
