Anthropic Claudeの文書処理ツールに存在する脆弱性を突くと、攻撃者はAIアシスタントがアクセスできる一時ファイルを作成するだけで、Linuxシステム上で悪意あるコードを実行できます。この脆弱性は、信頼されたAIツールでさえ、企業環境にセキュリティ上の穴を生み出しかねないという高まるリスクを浮き彫りにしています。
この脆弱性を発見したのは、AIR Securityの研究者らです。彼らは「Office Party」と名付けました。対象となったのは、AnthropicがClaude向けに公式提供しているDOCX、PPTX、XLSXの各スキルです。これらは、Claudeが「Microsoft Word」文書、「PowerPoint」プレゼンテーション、「Excel」スプレッドシートを、それぞれ作成・読み取り・編集・処理するためのツールです。
研究者らが本日公開したレポートによると、問題の原因は、文書変換のためにLibreOfficeを起動するヘルパースクリプト「soffice.py」にあります。このスクリプトは、Word文書のPDF変換などに使われます。Unixドメインソケットを開けない環境では、回避策としてLinuxのLD_PRELOAD機構を通じて共有ライブラリを読み込みます。
Anthropicは、この問題を修正しない方針です。
ユーザー権限で攻撃者のコードを実行
このスクリプトは、会話中に共有の一時ディレクトリにlo_socket_shim.soというライブラリがすでに存在するかを確認します。ただし、その出所や内容は検証しません。次の文書処理が行われる前に、攻撃者が悪意あるライブラリをその場所に置くことができれば、そのコードがLibreOffice内に読み込まれ、実行される可能性があります。実行されるコードの権限は、AIエージェントを動かしているユーザーと同じです。
AIR Research Labの共同創業者兼最高技術責任者（CTO）であるNiv Hoffman氏はメールでのインタビューで、次のように説明しています。この脆弱性では、文書変換時に使われる未検証のファイルパスが悪用され、攻撃者はユーザーのLinuxマシン上で悪意あるコードを実行できます。
同氏はDark Readingに対し、次のように語っています。「攻撃者が、多くのプログラムが使う共有一時フォルダに悪意あるファイルを1つ置きます。次に従業員がClaudeに文書の作成を頼むと、Anthropicの信頼されたスキルがそのファイルを読み込んで実行してしまいます」
Claudeを経由したLinuxシステムへの攻撃の仕組み
この脆弱性の影響を受けるのは、Unixソケットがブロックされている「Linux」環境です。一部のコンテナセキュリティ設定や、Claude Codeのサンドボックスも該当します。AIR Securityによると、macOSはLD_PRELOADでライブラリを読み込まないため、影響を受けません。
AIRの研究者らは、Linuxシステムでの攻撃手法を2通り実証しました。1つ目のシナリオでは、Claude Codeに文書の生成を依頼する前に、悪意あるライブラリを手動で一時ディレクトリに置きました。2つ目のシナリオでは、一見正当に見える別のAIスキルを使い、同じディレクトリに補助ファイルを展開させました。その後に文書処理スキルが実行されると、悪意あるライブラリが自動的に読み込まれました。
Hoffman氏は、この脆弱性はLinuxを運用する企業にとって深刻だと説明します。攻撃が突くのは「数億ものすべてのClaudeエージェントが使うデフォルトのスキル」だからです。「1つのファイルを仕込むだけで、従業員自身のアクセス権で攻撃者のコードを実行させられます」
2つ目の攻撃シナリオは、企業のセキュリティチームにとって特に懸念されます。個別に見れば無害に思えるAIスキル同士が連携し、攻撃チェーンを形成しうることを示しているためです。Hoffman氏は「企業は、どのスキルやエージェントのアドオンをインストールしているのかを把握できていないことが多く、脆弱なものを無効化したりパッチを当てたりする『赤いボタン』もありません」と説明します。
AIRの研究者らによると、悪意あるスキルや侵害されたスキルは、必ずしも文書処理ツールを直接悪用する必要はありません。別の信頼されたコンポーネントが実行するファイルを置くだけで済む場合もあります。
未解決のままのOffice Party脆弱性
レポートによると、AIRのチームは5月にこの脆弱性を発見してAnthropicに報告し、同社は存在を認めました。しかし、AIR Research LabのOmri Saxena氏とOr Nevo氏はレポートに、このAI企業は「脆弱なコードがサンドボックス内でしか動作しないため、セキュリティ上の境界の外にあると考えている」と記しています。両氏によると、現時点でもヘルパースクリプトは同じ固定パスを使い、そこで見つけたファイルをそのまま読み込みます。
Hoffman氏は、Anthropicの対応は「十分とは言えない」と指摘します。「スキルがサンドボックス内で動作するとしても、攻撃者のコードはその内部でユーザー自身の権限で動作します。そこにはすでにユーザーのファイルや作業内容があるからです」。Dark Readingは、同社が問題解決に向けてさらなる対応を取るのかについてAnthropicにコメントを求めましたが、すぐには回答を得られませんでした。
AIRによると、AIエージェントやコーディングアシスタントを導入する企業は、Office Partyを教訓に、AIスキルを信頼された拡張機能ではなくソフトウェアの依存関係として扱い、そのように保護する必要があります。
対策としてHoffman氏は、「従業員のエージェントに導入されているすべてのAIスキルとアドオンの最新の一覧を保持し、組織がClaude Codeでどのスキルやアドオンを使っているかを正確に把握すること」を挙げます。さらに「公式のものであっても他のコードと同様にレビューし、新たな脆弱性が公表されるたびに、全体を更新したりパッチを適用したりすること」も求めています。
