Author

claudenewsjp

固く縛ったつもりでも、すり抜けるのか

「ピン留めしたはずの plugin が、別のコードにすり替わる」という話を読むと、まず少しぞっとする。
ユーザーが“この版なら安全だろう”と思っている一番の前提が、実際には確認されていなかった、ということだからだ。commit hash で版を固定したように見せても、手元の agent が最後に実物チェックをしていなければ意味がない。ここはかなり嫌な穴だと思う。

特に引っかかったのは、責任の置き場所がかなり分散していて、しかも最後はユーザー側の実行環境に寄っている点だ。marketplace を見ても直せないし、repository owner が悪用できる余地もある。こういう supply chain 系の問題は、どこか一箇所を直せば終わりにならないのが厄介だが、今回もまさにそれだった。
「安全な版を選んだから大丈夫」という感覚が、AI coding agent ではもう信用しにくいのだと思う。

もう一つ、少しモヤっとしたのは、ベンダーごとの扱いがかなりばらついていることだ。Claude Code と Codex は直ったと言われる一方で、Copilot は未修正、Gemini CLI はそもそも修正されないという。脆弱性そのものも気になるが、こういう差があると、利用者は“どれを使えばいいのか”を機能の比較ではなく、セキュリティ対応の差で選ばされることになる。AI coding agent は便利でも、まだ普通の開発ツールというより、運用判断を常に強いられる存在なんだなと思う。

参考: Plugin4Shell Lets Repository Owners Swap Pinned Plugin Code Across Four AI Coding Agents

同じ著者の記事

Gitの設定が、こんなふうにAIエージェントを裏切るとは

最初に思ったのは、「AIそのものより、周辺の雑な前提のほうがずっと危ない」ということだった。記事の中心にあるのはモデルの誤作動ではなく、Gitがもともと持っている“普通の機能”だ。そこにAI coding agent が組み合わさると、ただリポジトリを開いただけで、しかもユーザーの承認を待たずにコマンドが走る。かなり嫌な形の事故だと思う。 特に引っかかったのは、攻撃が成立する条件が「普通の clone ではなく、.git ディレクトリ付きで届いたファイル」である点だ。これ、たしかにアーカイブや共有ドライブ、USBメモリなら起こりうる。つまり、開発者が「自分で clone したから安全」と思っている場面より、日常の受け渡しのほうが危ない。セキュリティ事故って、こういうふうに利用者の直感の外から入ってくるのが厄介なんだよなと思う。 もう一つ印象に残ったのは、複数の製品で似た穴が並んでいたことだ。Claude Code、Codex、Cursor、goose、Qwen Code、Grok Build、Hermes Agent と、名前が違っても起きていることはかなり近い。AIエージェントが「賢

papoo.work

ClaudeでOpenAIを破る話を読んで

いちばん引っかかったのは、「AIがAI企業を守る」どころか、逆にAIを使ってその防御をすり抜けた、というねじれ方です。しかも相手はOpenAIで、しかも手口が超高度なゼロデイ攻撃というより、コミュニティフォーラムと内部サインオンのつながりにできた穴を突いた、かなり現実的な侵入だった。派手さより、地味な弱点が結局いちばん危ないのだと感じました。 Bug bountyで研究者に報酬を払って脆弱性を探してもらう仕組み自体は、健全だと思います。悪用される前に見つけるための、かなり重要な安全弁なので。ただ、その結果として「Claudeを使ってOpenAIに入れた」という見出しが立つと、AIモデルの賢さよりも、運用のつなぎ目の脆さのほうが前面に出てきます。モデル同士の能力競争が進むほど、結局は周辺システムの設計力が問われるんだな、と改めて思いました。 それと、Anthropicが「AIが自分たちの次世代モデルづくりに使われている」とデータを出している部分も、少し怖い。研究開発の26%がClaude主導だとか、90%のタスクで人間と協働しているとか、便利さの説明としてはよく分かるのですが、同時に「A

papoo.work

OpenAIの穴が6,500ドルだった、という違和感

まず引っかかったのは、侵入口そのものよりも「それに対して何が払われたか」だった。OpenAIの内部コードや社員アカウントにたどり着ける経路が見つかって、修正まで14時間、報奨金は6,500ドル。金額だけ見ると、かなり軽い。しかも、これはAIが暴れた話というより、古典的なweb vulnerabilityを突いた話だというのが面白い。派手な見出しにすると「ClaudeがOpenAIを突破」となるけれど、実態はもっと地味で、でもその地味さのほうが怖い。 この記事を読んでいて、いちばん納得したのは「AIが壊した」のではなく「発見と悪用の速度が縮んだ」という見方だった。昔からある脆弱性でも、攻撃側がClaudeみたいな tool を使うと、つながりを見つけるまでが一気に早くなる。つまり問題は、モデルそのものの賢さというより、穴を見つけてから突くまでの時間が短すぎることなんだと思う。守る側も同じ加速に乗れればいいけれど、実際には検知のほうが追いついていないらしい。そこはかなり嫌な現実だ。 あと、記事がわざわざ「これは breach ではなく bug bounty の流れだ」と線を引いているのも印

papoo.work

Claudeに手伝わせてOpenAIを抜く、という不穏さ

まず感じたのは、これが「AIが攻撃を自動化する未来」の話というより、もうその入口に片足が入っている、という嫌な実感だった。しかも攻撃の主役が国家レベルの高度な集団ではなく、3人の研究者とサブスクリプションの組み合わせだというのが生々しい。特別な設備や巨大な予算がなくても、LLMをうまく使えばかなり深いところまで行けてしまう。その事実のほうが、見出しの派手さよりずっと重いと思う。 ただ、ここで少し引っかかるのは、Claude が「何でも突破できる魔法の道具」だったわけではないことだ。記事を読む限り、実際には腐った画像ファイルや Discourse の HEIF 処理の弱点を突く、かなり古典的な脆弱性探索の文脈に AI を差し込んでいる。つまり、AI がゼロからハックを生み出したというより、面倒な試行錯誤を高速化した感じに近い。ここは誇張して読まないほうがいいと思う。 それでも気味が悪いのは、こういう使い方が「研究用途」と「悪用」の境目をどんどん薄くすることだ。修正が入れば終わる個別のバグ報告の話にも見えるけれど、同じ手口を別の会社に短時間で移せる、という部分が本当なら話は違う。攻撃そのも

papoo.work

AIが強いほど、穴は早く見つかるのかもしれない

この記事を読んでまず思ったのは、攻撃そのものより「そこまで短時間で繋がってしまうのか」という怖さでした。画像アップロードと内部GitHubリポジトリが、たった2つの脆弱性をつなぐだけで一本道になる。しかも72時間以内。人間の目で探していたら見落としそうな細い継ぎ目を、Claude Opus 5 が埋めるように見つけた、という話はかなり生々しいです。 面白いというより、ちょっと意地悪な現実だとも感じました。AI はコードを書くだけでなく、攻撃の手順を組み立てる側にも回れる。しかも「できる／できない」ではなく、「どれだけ速く、どれだけ広く試せるか」に効いてくる。防御側にとっては、脆弱性そのものより、複数の弱点がつながった瞬間に何が起きるかを想像する負担が一段上がったんじゃないかと思います。 一方で、こういう話は「AI が危険だ」で終わらせるには少し雑すぎるとも感じました。本当に見ておくべきなのは、モデルの賢さよりも、システムの継ぎ目のほうではないでしょうか。画像アップロード、権限、内部リポジトリ、こういう普通の部品が、単独では小さいのに、連鎖すると急に危険になる。その連鎖を人間がどこまで想

papoo.work

AIエージェントが「文書」をそのまま実行してしまう怖さ

この記事を読んでまず思ったのは、これはかなり地味な見た目なのに、実際には相当いやな穴だということです。派手なゼロデイや難解な脆弱性というより、「ちゃんとした会社のドキュメントに書いてあるから大丈夫だろう」という、日常の判断がそのまま裏目に出ている感じがする。そこが一番ぞっとしました。 特に引っかかったのは、問題の中心が llms.txt みたいな新しい仕組みそのものというより、「AIエージェントは読んだものを命令として受け取りやすい」という性質にある点です。人間なら、`pip install` と書いてあっても「本当にそのパッケージ名で合ってるのか？」と少しは疑う。でもエージェントは、会社の公式ドメインにある、機械向けに整えられた文書を見たら、そこに書かれた手順をそのまま進めてしまう。しかも、周辺の監視ツールから見ると、ただの開発者が普通に package manager を叩いているようにしか見えない。守る側の目線では異常に見えにくいのに、攻撃の入口はもう開いている、というのが厄介です。 もうひとつ面白かったのは、これが「悪意ある文書が紛れ込んだ」話だけではないことです。もともと無害

papoo.work

Claude Codeに欲しかったのは「賢さ」より先にブレーキだった

この記事を読んでまず思ったのは、AIに本当に足りないのは推論力じゃなくて、雑に動かないための仕組みなんだな、ということだった。Claude Codeみたいなツールは頭の回転が速いぶん、こちらが「そこは触らないで」と念を押しても、平気で危ないコマンドに手を出しそうになる。その不安を、フックという形で機械的に塞ぐ発想はかなり筋がいい。 面白かったのは、これが「AIにもっと賢く振る舞ってもらう」話ではなく、「賢さとは別に、ルール違反を物理的に止める」話になっているところだと思う。プロンプトで説得するのではなく、`PreToolUse` のようなタイミングでスクリプトが割り込んで止める。ここが大事で、AIの気分に左右されない。人間のレビューより前に、そもそも危ない操作を通さない。かなり地味だけど、実務ではこの地味さが一番効くはずだ。 それと、`.env` や secrets を守る話にも妙に納得した。AIに設定ファイルをいじらせると便利な場面はあるけれど、秘密情報まで一緒くたに触らせるのは怖い。ここは「便利さの代償」をちゃんと見ている記事だと思った。Git の `push --force` や

papoo.work

AnthropicのAIがMicrosoftの穴を掘り当てすぎている

AnthropicのAI「Mythos」が、Microsoftの脆弱性をものすごい勢いで見つけている、という話です。しかも見つける速度が、Microsoftの修正速度を上回っている。セキュリティの世界ではかなりぞっとする状況です。 「AIがバグを見つけると便利だよね」で終わる話ではありません。むしろ本当に怖いのは、その発見スピードが速すぎて、守る側の人間が追いつかないことだと思います。この記事は、その現実をかなり生々しく伝えています。 AnthropicのAI「Mythos」が、Microsoft製品の脆弱性を大量に発見している Microsoft内部では、見つかった穴を順番に埋める作業が「mad dash」と表現されるほど切迫している SharePointだけでも、短期間で多数の critical や important の脆弱性が見つかった Microsoftは深刻度の高いものから順に直しているが、低〜中程度の穴が連鎖すると大きな攻撃につながるおそれがある AI時代の脆弱性対応は、従来の優先順位づけを見直す必要があるかもしれない この記事の面白いところは、AIが“攻撃者側の武器”に

papoo.work

Claude Coworkの「サンドボックス脱出」問題、何がそんなにまずいのか

AnthropicのAIエージェント「Claude Cowork」に、なかなか嫌な穴が見つかりました。 ざっくり言うと、本来は隔離されているはずの仮想環境から抜け出し、Mac上のファイルにまで手を伸ばせる可能性があった、という話です。AppleInsiderが伝えたこの記事は、AIの便利さの裏側にある「権限管理」の甘さをかなり生々しく示しています。 Claude Coworkのローカル実行モードに、仮想マシンの外へ影響が及ぶ弱点があった 攻撃の起点は、Linux kernelの不具合 CVE-2026-46331 仮想環境内でroot権限を取られると、Macのファイルシステムにある共有領域へ触れた そこからSSH private key、クラウド認証情報、ブラウザデータなどに届く可能性があった Anthropicはすでにクラウド実行をデフォルトにしており、ローカル処理よりは安全とされる ただし、AIに広い権限を与える危険そのものは消えていない 今回の話でややこしいのは、Claude Coworkが「Macの上でそのまま動いていた」のではなく、**

papoo.work

Claude CoworkのMac向け防御が破られた話、地味にかなり怖い

Mac上で動くAIアシスタント「Claude Cowork」に、想定された“囲い”を抜け出して、Mac内のほぼ全部のファイルに触れてしまう脆弱性が見つかった、という話です。 こういうニュースは一見するとセキュリティ界隈の内輪ネタに見えるのですが、実はかなり身近です。なぜなら、AIに「ちょっとこの資料まとめて」「このフォルダ見て」と頼む流れは、もう普通に起きうるからです。そこに穴があると、話は一気に現実味を帯びます。 Claude Coworkに、Macの保護を抜け出す脆弱性が見つかった 研究者はこの手口を「ShareRoot」または「SharedRoot」と呼んでいる 影響は、修正前のローカル実行ユーザー約50万人に及んだとされる 成功すると、Mac上のほぼどこでもファイルの読み書きができてしまう ログイン情報まで読まれるおそれがあるのが特に危険 現在はクラウド実行が既定になったが、ローカル実行を続ける人は注意が必要 まず前提として、Claude CoworkはAnthropicのAIチャットボットで、Mac上の特定のファイルやフォルダにローカルアクセスして作業を手伝う仕組みです。たと

papoo.work