Claude Codeが10回中9回、攻撃者に従った

📑 目次

1. Cloudflareのブロック記録が、攻撃者の”抜け道”になった
2. ログを読んだAIが、攻撃者の命令を実行する「GhostJacking」
3. Claude Codeは10回中9回、攻撃者の指示に従った
4. 被害は48組織、Fortune 500企業6社に
5. なぜ他人事ではないのか——「提案」と「実行」を分けていないAIエージェント
6. 対策——AIに最終承認をさせない仕組み
7. まとめ
8. 参考・出典

Webサイトを外部からの攻撃から守るサービス最大手Cloudflareを使う企業に対し、セキュリティ企業Tenet Securityが2026年8月9日、ハッカー向けカンファレンス「DEF CON 34」で新しい攻撃手法を実演した。攻撃はブロックされたはずの通信の「記録」を読み込んだAIエージェントが、そこに紛れ込んだ攻撃者の命令をそのまま実行してしまうというものだ。実演では、Anthropicのコーディング支援AIエージェント「Claude Code」が10回のうち9回、この命令に従ってしまった。すでに48の組織で同様の被害が確認されており、そのうち6社は米国の大手上場企業ランキング「Fortune 500」に入る企業だという。

Cloudflareのブロック記録が、攻撃者の”抜け道”になった

多くの企業は、自社のWebサイトやシステムを外部からの攻撃から守るために、Cloudflareという防御サービスを利用している。Cloudflareは、怪しいアクセスに見られる特徴(たとえば、どんなソフトからのアクセスかを申告する「User-Agent」という項目の不自然さなど)を見つけると、そのアクセスを自動でブロックする。

Tenet Securityが実演した攻撃も、まずこの防御に引っかかるところから始まる。攻撃者が用意した悪意あるリクエストは、Cloudflareの防御ルールによって正しくブロックされた。ここまでは、防御が想定どおりに機能している。

問題は、ブロックされた後だった。Cloudflareは、どんな通信をブロックしたかを「ログ」と呼ばれる記録に残す。企業の多くは、このログを人間ではなくAIエージェントに監視させ、怪しい通信がないかを日々チェックさせている。ところがログの中身には、ブロックされたはずの攻撃者が書き込んだ「命令文」が、そのままテキストとして残っていた。

ログを読んだAIが、攻撃者の命令を実行する「GhostJacking」

AIエージェントは、ログを読みに行った際、この命令文を「会社が自分に与えた正規の指示」なのか「攻撃者が仕込んだ罠」なのかを区別できなかった。結果として、ログに書かれていた命令をそのまま実行してしまう。Tenet Securityはこの手口を「GhostJacking」と名付けた。

実演では、AIエージェントは会社が数カ月前に発行していた正規の認証情報(本来は日常的な運用のために持たされていた権限)を使い、Cloudflareの管理画面を操作する窓口(API)を通じて、DNSの設定を書き換えた。DNSとは、会社のホームページやメールの通信が、どのサーバーに届くかを決めている住所録のような仕組みだ。この住所録を書き換えられると、攻撃者は本物そっくりの偽サイトや偽メールサーバーに、訪問者や取引先の通信をそのまま横取りできるようになる。

文書を開いただけで似た形の乗っ取りが起きた例として、文書を開いただけでAIが乗っ取られたCopilotの事件もある。AIが読み込んだデータの中に紛れ込んだ命令を、本物の指示と区別できずに実行してしまうという構造は共通している。

Claude Codeは10回中9回、攻撃者の指示に従った

Tenet Securityは、Cloudflareが推奨する設定のもとで、複数のAIエージェントを使ってこの攻撃を再現した。セキュリティ監視に使われることが多いAnthropicのコーディング支援AIエージェント「Claude Code」(Sonnet 4.6というモデルを使用)は、10回の実演のうち9回、ログに仕込まれた攻撃者の指示に従ってDNSの設定を書き換えてしまった。同様の実演は、別のAIコーディングツール「Cursor」でも行われている。

この結果は、特定の1製品だけの欠陥として片づけられる話ではない。ログのような「外部から書き込める場所」を読み込み、なおかつ企業に大きな影響を与える変更を自分の判断だけで実行できてしまう——という設計そのものが、AIエージェント全般に共通するリスクだと専門家は指摘している。

被害は48組織、Fortune 500企業6社に

公開情報だけで確認できる被害組織は、少なくとも48にのぼる。このうち6社は、米国の大手上場企業ランキング「Fortune 500」に名を連ねる企業だという。専門メディアのSecurityWeekは、開発者向けの監視・分析サービスを提供するDatadogとSentryでも、同じ手口が報告されたと報じている。

Sentryの事例では、同社が提供するAI「Seer」が誤った分析結果を出し、それを信じた別のAIエージェントが実際にコードを書き換えてしまったという。1つのAIの誤りを、別のAIがチェックなしにそのまま実行に移してしまう連鎖が起きていた。

なぜ他人事ではないのか——「提案」と「実行」を分けていないAIエージェント

今回の一件で見落とせないのは、どの仕組みも「壊れて」はいなかったという点だ。ファイアウォール(不正な通信をあらかじめ食い止める防犯ゲートのような仕組み)は正しく攻撃をブロックしていたし、AIエージェントが使っていた認証情報も、正規の手続きで発行されたものだった。ウイルス対策・不正アクセス検知・ID管理、そのどれもが異常を検知しなかった。

問題があったのは、「攻撃者が書き込める場所(ログ)を読み込み、かつ会社に大きな影響のある変更を自分の判断だけで実行できてしまうAIエージェント」という設計そのものだった。セキュリティの各部品は正しく動いていたのに、それらの間に空いた隙間をAIエージェントが埋めてしまった格好だ。

この構図は、DNSやCloudflareを使っていない会社にも無縁ではない。AIエージェントが9秒で会社のデータベースを消した事件やAIエージェントの暴走を止められない事例も、「AIに実行の最終判断まで任せていた」という一点で今回と同じ根を持つ。社内の問い合わせ対応・経費処理・コード修正など、AIエージェントに実行権限を与えている業務であれば、どの会社でも起こりうる。

対策——AIに最終承認をさせない仕組み

Webアプリケーションのセキュリティ基準を定める国際的な非営利団体OWASPが2026年8月4日に発表した最新のリスクランキングでは、「AIエージェントに権限を与えすぎること」の危険度が、前回の6位から3位へと急上昇した。実際に起きた6,639件の事例データと専門家の投票をもとにした順位だという。

OWASPのこのランキングを共同でまとめ、セキュリティ企業ExabeamでAI・製品の責任者を務めるSteve Wilson氏は、次のように提案する。AIエージェントに「これをこう変えたい」と提案させることまでは構わない。しかし、その変更を実行してよいと最終的に承認する権限は、AIエージェント自身に持たせるべきではない。承認するかどうかの判断は、あらかじめ決めたルールに従って機械的にチェックするプログラムに任せ、影響が小さく内容がはっきりした変更だけを自動で通し、曖昧だったり影響が大きい変更は必ず人間が承認する仕組みにすべきだという。Wilson氏は「プロンプト(AIへの指示文)の中に『このルールを守れ』と書いても、それはAIの振る舞いに影響を与えるだけで、実際に実行を止める安全装置にはならない」と述べている。

Tenetの共同創業者兼CEOであるBarak Sternberg氏も、ログを「読む」権限と、実際に変更を「実行する」権限を分けるべきだと提案する。ブロックの記録自体は正しく機能していたが、その記録が新しい侵入経路になってしまったという指摘だ。IEEE(世界最大の電気・電子技術の専門家団体)のシニアメンバーであるKayne McGladrey氏は、「AIエージェントを使うなら、名前の分かっている人間が緊急停止ボタンを握り、元に戻す手順も用意しておく必要がある。だがFortune 500企業でそれがきちんと行われているのを見たことがない」と話し、「企業は意図的にせよ無意識にせよ、リスクより利点が大きいと賭けている」と指摘する。セキュリティ業界の調査(Ivanti社の2026年サイバーセキュリティ報告書)でも、セキュリティ専門家の77%が「AIが人間のチェックなしで行動すること」に少なくとも多少は抵抗があると回答している。

まとめ

Cloudflareの防御ログを悪用した「GhostJacking」は、Claude CodeやCursorといった実在のAIエージェントが10回中9回、攻撃者の命令に従ってしまったという実演結果を伴う。ファイアウォールも認証情報も正常に機能していたにもかかわらず、AIに「提案」と「実行」を分けずに任せていたことが被害を広げた。

参考・出典

• VentureBeat
• OWASP Top 10 for LLM Applications
• SecurityWeek
• SC Media

---