Claude Codeに脆弱性、認証情報流出の恐れ（修正済）

Microsoftのセキュリティ研究チームは、Anthropicが提供するAIコーディング支援ツール「Claude Code（クロード・コード）」のGitHub Actionに存在していた脆弱性について詳細を公開しました。この脆弱性は、悪意ある第三者がGitHub上のIssueやプルリクエスト（プログラムの変更提案を他の開発者にレビューしてもらう機能）などに仕込んだ「プロンプトインジェクション（AIへの入力に悪意ある指示を混ぜて、AIを不正に操作する攻撃手法）」によりAIエージェントを操り、ソフトウェア開発の自動化プロセスであるCI/CD（継続的インテグレーション／継続的デリバリー）パイプラインに保管されているAPIキーやクラウドの認証情報を外部へ流出させることができるというものでした。この不具合は、Microsoftから報告を受けたAnthropicが、約1週間後の5月5日に公開したClaude Codeのバージョン「2.1.128」で既に修正しています。

1. プロンプトインジェクションによるAIエージェントの不正操作

Microsoftは、パブリックリポジトリ（公開されたコード保存庫）でAIアシスト型のGitHubワークフローを標的にしたプロンプトインジェクションの試行が複数確認されたことから調査を開始しました。AIエージェントがGitHub Issuesやプルリクエストのコメントをレビューする際、その中に隠された攻撃者の指示に惑わされ、本来実行すべきではないツールの操作を行ってしまう危険性があることが明らかになりました。

2. 安全保護機能のバイパスと情報流出の手法

Microsoftによる検証では、AIモデル（Claude 3.5 Sonnet）が持つ安全保護（拒否機能）を回避するため、同社が制御するドメインからの応答内に悪意あるシェルスクリプトの実行コードを隠蔽しました。これによりClaudeの防御網をバイパスして機密情報を読み取らせ、さらにGitHubのシークレットスキャンツールに検知されないよう文字列を改変させて流出させることに成功しました。流出した情報は、GitHubのコメント欄、ワークフローの実行ログ、またはWebリクエストを通じて外部の攻撃者に送信することが可能でした。

3. 脆弱性の報告と迅速なパッチ適用

Microsoftは2026年4月29日、バグバウンティプログラム「HackerOne」を通じてAnthropicにこの問題を報告しました。Anthropicは迅速に対応し、5月5日には修正プログラムを適用したアップデート版の提供を開始しました。

CI/CD環境は本番システムへのアクセス権限や各種サービスのトークンなど重要情報が集中しているため、攻撃者にとって格好の標的となります。自律型のAIエージェントが開発現場に普及する中、自然言語を介して動作するAIの性質を悪用したプロンプトインジェクションは、従来のソースコード解析では検知が困難な新たなセキュリティリスクとなります。

編集部注：開発環境へのAI導入においては、信頼できない外部の入力（GitHubのIssueなど）をデフォルトで「敵対的入力」として処理し、適切な実行権限の隔離と厳格な境界設計を行うことが、今後の重要なセキュリティ対策になると考えられます。