何が起きたか

Mozillaが運営する生成AI向けバグ報奨金プラットフォーム「0DIN」のセキュリティ研究者が、Claude Codeを標的とした新たな攻撃経路を報告しました。攻撃者は外見上ごく普通のGitHubリポジトリを用意するだけで、それを開いた開発者のマシンを完全に支配できるとしています。

仕掛けはセットアップスクリプトに埋め込まれています。スクリプトは実行時にDNSレコードからコマンドを取得して実行する構造になっており、悪意あるコード本体はリポジトリ内には一切存在しません。そのためコードスキャナー、人間のコードレビュー、そしてAIエージェント自身のいずれの目にも触れない仕様です。

攻撃が成立する流れ

Claude Codeはセットアップ中に出るありふれたエラーメッセージに反応し、自動的にスクリプトを実行します。その結果、攻撃者側にリバースシェルが開通し、APIキー・ログイン認証情報の窃取や、永続的なアクセスの確保が可能になります。

求人情報、技術チュートリアル、Slackのメッセージ——どれか一つにリポジトリのリンクが貼られているだけで、AIコーディングツールでそれを開いた者全員が侵害対象となり得ます。

なぜ重要か

これは「AIエージェントに自律的にコマンドを実行させる」という設計思想そのものへの警鐘です。従来のサプライチェーン攻撃と異なり、攻撃ペイロードがリポジトリに残らないため、既存の静的解析やSBOM管理では検知できません。研究者はAIエージェント側に「セットアップスクリプトの中身を実行前に表示する」機能を、開発者側には「サードパーティのセットアップ手順は未検証コードとして扱う」運用を推奨しています。

💼 事業会社視点：これは自社にどう効くか

日本の事業会社にとって、これは「AI開発生産性向上」と「情報漏洩リスク」のトレードオフを再評価すべきタイミングです。

特に影響が大きいのは、受託開発企業とSaaSスタートアップです。受託側は顧客環境のAPIキーやクラウド認証情報を扱う開発端末でClaude Codeを常用しており、一度の侵害が複数顧客への二次被害に直結します。SaaS事業者では、本番DBやStripe・SendGrid等の鍵が開発機に残っているケースが多く、リバースシェル経由の流出は事業継続レベルのインシデントになります。

経営層が今打つべきは三点です。第一に、AIコーディングツールの利用ポリシーを「自動実行をデフォルト無効・スクリプト内容の事前表示を必須」へ変更する。第二に、開発端末上の認証情報をローカル保存から1Password CLI等のシークレットマネージャーに退避する。第三に、社外GitHubリポジトリをAIエージェントで開く前に、隔離環境(Devcontainer/Codespaces)を経由する社内手順を整備することです。「AI禁止」は競争力を削ぎますが、運用を変えずに使い続けることは事故待ちです。