#認証情報

この記事を読んでまず思ったのは、「また新しい安全対策の話か」と身構えたら、実はかなり根っこを突いていた、ということだった。MCP(Model Context Protocol)の話になると、つい認証や暗号化のような“わかりやすい防御”に目が行く。でも著者たちは、そこだけを見ていても足りないと言っている。むしろ問題は、AI agentにどこまで権限を渡すのか、渡した後にどう縛るのか、という設計そのものにある。これはかなり筋がいい指摘だと思う。 特に引っかかったのは、standing credentials、つまり長く生きる認証情報の扱いだ。人間の操作なら多少の過剰権限は「まあこの人は経理だから」で済むこともある。でも agent は一度つなぐと、速い・広い・止まらない。その動きに、昔ながらの「とりあえず強い鍵を渡しておく」運用を持ち込むのは危ない。便利だからこそ雑に広い権限を渡しがちで、その雑さが一気に事故になる、という感覚はよくわかる。 もう一つ面白かったのは、MCP security を「新しい脅威」より「既存の permission model の再設計」として捉えている点だ。派手

まず驚いたのは、攻撃者がClaudeそのものを直接どうこうしたというより、利用者のPCに入ったinfostealer malware（保存済みパスワードやcookieを抜くタイプのマルウェア）を踏み台にしている点だった。AIサービスの話なのに、結局いちばん弱いのはブラウザと端末側、といういつもの現実に戻ってくる。少し拍子抜けでもあるし、妙に腑に落ちる話でもある。 それにしても、usage limitsを「勝手に使い切られる」という被害の見え方が地味に嫌だ。金額の大きな決済不正よりも、最初はただ「なんかクォータの減りが早いな」で済まされかねない。しかもAnthropicはセッションをログアウトさせ、支払い情報まで外した。守りとしては筋が通っているけれど、正規ユーザーからすると一気に“自分のアカウントが信用できない状態”に落ちる。ここはかなり強い対応だと思う。 記事を読んでいて、AIアカウントの保護が「強いパスワード」だけでは全然足りないことも改めて見えた。cookieや保存ログインを抜かれたら、本人確認をすり抜けてそのまま入られる。結局、怪しいdownloadや非公式アプリを避ける、端末

認証を突破して中身を盗む話かと思ったら、もっと地味でいやらしい手口だった。Claudeのセッションを盗んで、本人になりすまして使い切る。しかもパスワードや2FAを毎回突破する必要すらない、というのが妙に生々しい。 ここで引っかかったのは、被害が「情報漏えい」だけで終わらないことだ。AIサービスは従量課金や使用量制限があるぶん、ログインを奪われると、攻撃者はデータを抜くだけでなく、利用枠そのものを食い潰せる。つまり被害の形が、昔ながらの「盗む」から「浪費させる」に少し変わっている。これは利用者にとってかなり嫌な変化だと思う。 もうひとつ、Anthropicが「Claudeが原因ではない」と強く釘を刺しているのも印象に残った。たぶん誤解されやすいんだろう。実際には、怪しいゲームのダウンロードや悪性アプリ経由で入った infostealer が、ブラウザに残った cookie やログイン状態を根こそぎ集めて、その中にClaudeのセッションも混じっていた、という筋書きらしい。AIの問題に見えて、根はかなり古典的なマルウェア被害だ。 だから対処も派手さはない。サインアウトさせるだけでは足りず、

この記事を読んでまず思ったのは、「パッケージを入れるだけでここまでやられるのか」という、かなり素朴で、それでいて重い怖さでした。npm の malware というだけなら珍しくないのですが、今回は単に credential を抜くだけで終わらず、感染した package からさらに別の package へ広がっていく“worm”になっている。しかも開発者の手元だけでなく CI 環境まで狙っているので、被害の入口がかなり広い。ライブラリを `install` した瞬間の lifecycle script がこんなに危ないのだと、あらためて突きつけられます。 特に引っかかったのは、「署名や provenance があるから安心、とはならない」点です。GitHub Actions の正規の release workflow を通っていて、OpenID Connect や SLSA の provenance まで付いていたとある。でも、それでも中身が安全だとは言えなかった。ここはかなり厄介で、いまの開発現場が頼っている“信頼の見え方”が、攻撃者の動き方と相性が悪いのだと思います。証明書や ba