#端末保護

まず驚いたのは、攻撃者がClaudeそのものを直接どうこうしたというより、利用者のPCに入ったinfostealer malware（保存済みパスワードやcookieを抜くタイプのマルウェア）を踏み台にしている点だった。AIサービスの話なのに、結局いちばん弱いのはブラウザと端末側、といういつもの現実に戻ってくる。少し拍子抜けでもあるし、妙に腑に落ちる話でもある。 それにしても、usage limitsを「勝手に使い切られる」という被害の見え方が地味に嫌だ。金額の大きな決済不正よりも、最初はただ「なんかクォータの減りが早いな」で済まされかねない。しかもAnthropicはセッションをログアウトさせ、支払い情報まで外した。守りとしては筋が通っているけれど、正規ユーザーからすると一気に“自分のアカウントが信用できない状態”に落ちる。ここはかなり強い対応だと思う。 記事を読んでいて、AIアカウントの保護が「強いパスワード」だけでは全然足りないことも改めて見えた。cookieや保存ログインを抜かれたら、本人確認をすり抜けてそのまま入られる。結局、怪しいdownloadや非公式アプリを避ける、端末