プロンプトも、クリックも、サンドボックスによる防御も介さずに、Anthropicの「Claude Code Desktop」に存在する深刻度の高いバグを突かれ、攻撃者がソフトウェア開発者のマシンから極めて機密性の高いファイルを盗み出せる状態でした。
現在は修正済みですが、対応は容易ではありませんでした。
「SneakPeek」と名付けられたこの脆弱性について、最初の修正は、バグを最初に発見したNomaの研究者によって回避されました。このため、Anthropicのチームはコードに立ち返り、より根本的なアーキテクチャレベルの修正を行いました。Nomaの研究者によると、AnthropicとNomaは脆弱性の開示と修正で協力したということです。
この脆弱性は、Claude Code Desktopの自動プレビューペインに影響します。同ペインは、プラットフォームが生成または変更したHTMLファイルのリアルタイムプレビューをコーダーに提供する機能です。Nomaによると、プレビューのアーキテクチャに存在する3つの欠陥を連鎖させることで、プラットフォームを利用する開発者が有効だと想定していたあらゆる組み込み型のサンドボックス保護を回避できました。研究者が特定した3つの欠陥は、コンテンツセキュリティポリシーの欠如、オリジンへの無制限のアクセス、リクエストフィルタリングの無効化です。
Nomaの上級AI脆弱性研究者であるEli Ainhorn氏は、レポートで次のように述べています。「攻撃者は、悪意のあるスクリプトを埋め込み、256KB超までパディングしたHTMLファイルを含む、一見ごく普通の公開コードリポジトリを用意できます。開発者がClaude Codeにそのファイルのレビューや編集を依頼すると、プレビューペインが文書を自動的にレンダリングし、認証情報がバックグラウンドでひそかに外部へ流出します」
悪意のあるスクリプトは、AWSやGitHubの認証情報、APIキー、ClaudeのOAuthトークンのほか、ホストマシン上のあらゆる認証情報を盗み出す可能性があります。しかも、開発者は保護されたサンドボックス環境で作業していると信じたまま、一切の操作なしに被害に遭います。
セキュリティに苦戦するAIモデル
Ainhorn氏によると、Claude Codeデスクトップのプレビューサンドボックスのように安全だと見なされている環境で、こうしたステルス型の脆弱性が今後さらに見つかる可能性が高いといいます。
「今週Satya（Nadella）氏がXで発表した内容や、本日のAnthropicの声明は、ここ数カ月で目にしてきた脆弱性とあわせて、その方向性をはっきりと示していると思います」
Ainhorn氏が言及しているのは、MicrosoftのNadella CEOが寄稿した、AIのサイバーセキュリティに「非常ブレーキ」をかけ、「モデルは侵害されているものとして扱う」よう求める記事です。あわせて、ボットが自己複製し、即席のIoTデバイスネットワークを通じて将来のAIワーム攻撃を形成し得ることを示した、Anthropicの不穏な研究にも触れています。
Ainhorn氏は次のように付け加えています。「モデルを開発・提供する企業が、同時にセキュリティプロバイダーにもなることはできません。基本的な防御は提供できても、唯一のセキュリティプロバイダーとして頼ることはできないのです」
Nomaのタイムラインによると、「SneekPeek」脆弱性は7月4日にAnthropicへ最初に報告され、同社は7月9日に修正をリリースしました。7月24日の再テストでNomaがバイパスを発見し、今月のアドバイザリー公開に先立つ8月17日に最終パッチが適用されました。
Ainhorn氏によると、最も効果的な対策は、積極的かつ自動化されたパッチ適用プログラムと、開発者の行動の見直しです。
Ainhorn氏は次のように述べています。「コーディングアプリケーションは常に最新の状態に保ち、有効期間の長い認証情報は開発者のマシンに置かないようにする必要があります。しかし、全体的な可視性とランタイム保護の両方を提供する堅牢なセキュリティソリューションは、もはやあれば望ましいものではなく、自律型エージェントを本番環境で運用するあらゆる企業にとって事実上の標準になっています」
翻訳元: https://www.darkreading.com/threat-intelligence/new-anthropic-sneakpeek-silent-zero-click-threat
