Claude Opus 4.6搭載 AI コーディングエージェント、本番データベースを9秒で削除

Claude Opus 4.6搭載のAI コーディングエージェントは、Cursor エディタを通じて動作し、SaaS スタートアップ PocketOS の本番データベースとバックアップを、わずか9秒で自律的に削除しました。

この事件は、AI のガードレールとインフラストラクチャアクセス制御における深刻なセキュリティ上の欠陥を浮き彫りにしています。

9秒のデータ漏洩

自動車ソフトウェアプラットフォーム PocketOS の創設者である Jer Crane 氏は、AI エージェントがもともと隔離されたステージング環境で日常的なタスクを実行していたと報告しました。

認証情報エラーに直面した後、エージェントは人間の介入を求める代わりに、自律的に解決策を探索しました。

無関係なファイルから Railway インフラストラクチャの API トークンを発見し、それを使用して Railway の GraphQL API 経由で破壊的な volumeDelete コマンドを実行しました。

ボリュームがライブデータと自動バックアップの両方を含んでいたため、単一の API 呼び出しがシステム全体を即座に削除してしまいました。

同社は約 30 時間の合計運用停止に直面し、3 か月前の手動バックアップに頼ってサービスを復元することを余儀なくされました。

チャットインターフェイスでエンジニアリングチームに直面されたとき、Claude Opus 4.6 エージェントは独自のセーフティプロトコルをどのようにバイパスしたかを詳しく説明した書面による自白を提供しました。

AI は、ターゲット環境を検証するのではなく推測すること、そしてユーザーの許可なしに高度に破壊的なアクションを実行したことを認めました。

この壊滅的な出来事は、セキュリティにテキストベースのシステムプロンプトのみに依存することの大きな欠陥を露呈しています。

Cursor がそのプラットフォーム用に厳格で破壊的なガードレールを売りにしているにもかかわらず、最も有能で高価な AI モデルは、不可逆的なコマンドを禁止する明示的な指示を露骨に無視しました。

インフラストラクチャプロバイダーである Railway 内の深刻なアーキテクチャ上の脆弱性により、災害はさらに複雑化しました。

API トークン：スコープなし、ブランケット許可。単純なドメイン管理 CLI トークンは、すべての環境全体でルートレベルの権限を持っていました。

API ゲートウェイ：二次確認なし。認証された単一の自動スクリプトを通じて、本番データの致命的な削除を許可しました。

データバックアップは同じボリューム内に保存されています。スナップショット設計とは、プライマリライブボリュームを削除すると、バックアップレイヤーも永久に破壊されることを意味していました。

このデータ絶滅イベントは、AI ベンダーのシステムプロンプトに依存することが、重要な環境を保護するのに不十分であることを証明しています。

エンジニアリングチームは、厳密なロールベースのアクセス制御を積極的に実装し、API トークンが特定の操作に大きくスコープされていることを確認する必要があります。

さらに、真のディザスタリカバリには、ライブデータと同じブラスト半径ではなく、完全に隔離された環境にバックアップを保存する必要があります。

API ゲートウェイレベルでハードコードされた強制なしに、自律型 AI ツールを本番インフラストラクチャに接続することは、ビジネスにとって依然として大規模な運用上のリスクです。