Anthropicは、ユーザーをプロンプトインジェクション攻撃から保護するため、Claude Codeの自動モードをデフォルトに設定したが、研究者のJohann Rehbergerはこの安全対策に重大な脆弱性があることを実証した。彼は、悪意のあるPythonファイルを含むzipアーカイブのダウンロードと解凍をエージェントに促すことで、約80%の成功率で攻撃が成功する手法を特定した。

  • このエクスプロイトは`base64`をインポートするコードの実行に依存しており、これによりアーカイブから抽出されたローカルの`struct.py`ファイルの実行が偶発的にトリガーされる。
  • いくつかのケースではClaude Codeが侵害を検出したが、自動モードによってマルウェアプロセスの終了やクリーンアップコマンドの実行が妨げられた。
  • 安全分類器は悪意のあるプロセスの作成を許可したが、その後エージェントがそれを停止しようとする試みをブロックし、結果として失敗の一部となった。

Rehbergerは、無人で動作するコーディングエージェントを実行するための唯一の安全な方法は、コンテナやVMなどのサンドボックス環境内で行い、ネットワークの外部送信を制限して機密情報を隠蔽することだと結論づけている。