159 件の記事
このタグの RSS
Anthropic は 2026 年 8 月 21 日、サイバーセキュリティ能力を持つ Claude Mythos 5 へのアクセス方法を 4 つ新たに開放した。個人ユーザーへの直接提供ではなく、Claude Security インテグレーション、Defender Advantage Fund、Cyber Verification Program 拡張、その他の制御メカニズムを通じた間接的な利用に限定。
Google 検索で Claude Code のインストール方法を検索した際、悪質な Claude artifact が上位に表示され、macOS infostealer をインストールされるケースが報告された。ユーザーが意図せず悪質なコンテンツにアクセスするリスクがある。
セキュリティ研究者が Claude Opus を活用して複数の SAML 実装の脆弱性を体系的に調査した事例。マルチエージェント型ハーニスを構築し、脅威モデルと段階的なガジェット探索を組み合わせることで、既存ライブラリの未修正バグを多数発見。モデルスケール時には詳細な指示よりも一般的なガイダンスが効果的であることを実証。
macOS のサンドボックスでワイルドカード読み取り拒否が許可リージョン内で機能していなかった問題を v2.1.236 で修正。あわせて ANTHROPIC_DEFAULT_MODEL 環境変数追加、SendMessage に notify_when_idle オプション、auto mode の審査強化、タイプミスしたスラッシュコマンド非実行化など複数の改善を実装。
Claude Code v2.1.235 がリリースされました。プロンプト入力欄への spellcheck 設定追加、許可プロンプトの Shift+Tab 脆弱性修正、クラウドセッション実行時のメモリ・CPU 使用量改善が中心。19 件の変更うち修正が 12 件、新機能 1 件で、既存機能の改善・パフォーマンス向上に注力。
セキュリティエンジニアが、AI エージェント時代の脆弱性検出の課題を解説。従来のシフトレフト（CI段階での検査）では遅く、コード生成の瞬間に脆弱性をブロック・自動修正する「Secure at Inception」アプローチを、Claude Code と Snyk の組み合わせで実装する方法を紹介。タイポスクワッティング検知など現場レベルの実装パターンを深掘りする。
Claude Code v2.1.234 はセキュリティ強化を中心としたアップデート。Windows 環境での NT 名前空間パス（\??\）を利用した NTLM 認証情報漏洩への対策、MCP 診断や権限プレビューにおけるシークレットマスキングの不備修正が高優先度の修正。加えてセッション自動継続や claude-api スキルのコンテキストコスト削減（200k+ トークン→約 25k トークン）など開発体験の改善も含まれる。
Claude Code v2.1.234 がリリースされ、51 件の変更が導入されました。全体の約 4 分の 1 が権限・信頼周りの修正で、Windows NT 名前空間パスの拒否やMCP 診断出力のシークレット非表示などセキュリティが強化されています。また、デザイン作成が可能になった新しい /design skill (research preview) が導入されました。
個人開発でClaude Codeに外部APIからのデータ収集を依頼したところ、生成されたコードのUser-Agent文字列に個人メールアドレスが自動で埋め込まれ、約4000件のAPIリクエストで外部に送信されていた。Claude Codeはコンテキストに自動追加される userEmail を「使用してよい情報」と解釈し、ユーザーの確認なしに利用した。
v2.1.233 で TodoWrite などの Todo 系ツールが Opus 4.8・Sonnet 5・Fable 5 以降で無効化。CLAUDE_CODE_ENABLE_TODO_TOOLS=1 で復活可能だが、将来的には依存を外す検討が推奨される。Windows の NTLM 認証情報漏洩の脆弱性が塞がれ、auto mode のリグレッションも修正。GitLab の MR URL が --worktree で使用可能に。
Claude Code v2.1.232 がリリースされ、PowerShell と Windows Git Bash における2件の重大な権限バイパス脆弱性が修正された。サブエージェントの fork 機能デフォルト化、セッション間メッセージング機能の追加、GitLab トークン秘匿化強化、Remote Control 安定化など多数の新機能と改善を含む。Windows 環境のユーザーは早急なアップデートが推奨される。
AnthropicがClaude Code向けに公開した公式セキュリティプラグイン「Claude Security」を、意図的に脆弱性を仕込んだお問い合わせフォームで検証。複数エージェントが脅威モデルを立てて脆弱性を探し、コードレビューのボトルネック解消を実装。セットアップ手順や実際のスキャン結果、既存SAST体制との棲み分けを解説。
Claude Code のセッションデータがディスク上に平文 JSON 形式で保存されており、ペーストしたすべてのコンテンツが含まれることが報告された。セキュリティとプライバシーに関する懸念が指摘されており、機密情報の取り扱いに注意が必要。
Claude Code v2.1.228 がリリースされ、claude.ai から同期されたスキルがローカルコマンドや MCP プロンプトを乗っ取れないようにするセキュリティ強化と、Memory フォルダの誤削除バグ修正が行われた。Remote Control の情報漏洩問題、Windows の Git 検出エラー、Write ツールの仕様変更など複数の修正が含まれており、特に Memory 機能やスキル同期を利用している開発者への影響が大きい。
Claude Code の Auto-Mode（8月14日より新デフォルト）では Sonnet-5 が安全性分類器として機能するが、Opus-5 を使用した実験で 10 回中 6 回、ステガノグラフィーで隠匿された悪意あるコードの実行を許可してしまった。分類器がツール呼び出しのみを検査し応答内容を見ないため、間接的なプロンプトインジェクション攻撃に脆弱性がある。
Claude Code v2.1.212 で、ユーザーの実メールアドレスが curl コマンドの User-Agent ヘッダーに明示的な確認なく含められる問題が報告された。プライバシー侵害のリスクで、前バージョンでは発生していなかったリグレッション。
Anthropic は 8 月 14 日より、Claude Code の Auto モードを Pro、Max、Team プランの新規セッションのデフォルト設定にすると発表。Trajectory Labs による第三者評価では、72 個の間接的なプロンプトインジェクション攻撃シナリオに対して、Claude Fable 5、Opus 5、Sonnet 5 の Auto モード実行では全 720 回の攻撃が失敗。
Claude Code の auto-mode で実行される安全性チェックの仕組みを逆算調査した記事。約 44KB の分類器プロンプトのうち非公開部分が、ユーザーの「同意」をどこまで認めるかを決定する重要な判断ロジックを含んでいる。権限ルール・自動承認・トリアージ・裁定の 5 段階チェック構造が明かされた。
Claude Code に秘密ファイルの読み取りを禁止する設定を入れたはずが、Bash 経由で API キーを読まれてしまった事例。サンドボックスの既定では読み取りがほぼ全開放されていることが原因で、権限ルール・PreToolUse フック・OS レベルサンドボックスの三層防御を組み直すまでの実装記録。
Claude Code v2.1.223 がリリースされ、Bash 権限バイパスなど 4 件の Critical セキュリティ修正が含まれた。CLAUDE_CODE_DISABLE_1M_CONTEXT の適用範囲が全 Claude モデルに拡大され、/review コマンドが /code-review のエイリアスに変更された。CI/CD 自動実行や長文コンテキスト運用をしている環境では優先度高でのアップデートが推奨される。
Claude Code v2.1.223 で、細工した Bash コマンドが permission チェックから自身の一部を隠せる脆弱性が修正されました。承認ダイアログのタブや不可視 Unicode による偽装経路も同時に封鎖され、Bash 自動承認を設定している環境は優先的なアップデートが必須です。このほか workflow サンドボックス脱出、bypassPermissions ポリシー迂回、マーケットプレイス owner ワイルドカード対応など複数の改善が含まれます。
Claude Code v2.1.223 がリリース。Bash 権限バイパスなど 4 件のセキュリティ修正、/review を /code-review のエイリアスに統合、CLAUDE_CODE_DISABLE_1M_CONTEXT の対象拡大、マーケットプレイス設定の owner ワイルドカード対応など、セキュリティと運用管理に影響する 19 件の変更が含まれる。
Claude Code が "The Cutting Room Floor" というソースからファイルシステム削除コマンドを実行させるペイロードを受け取ったという報告。Claude Code が潜在的に危険なコマンド実行を試みるまで至った事例で、プロンプトインジェクションやセキュリティの脆弱性に関する懸念を提起している。
Claude Code v2.1.222 がリリースされ、新機能はないものの 21 件の修正が入りました。worktree で分離されたセッションからの破壊的な git コマンド実行を防止、PreToolUse フックのツール制限回避を修正、auto モードで SendMessage が権限分類器を経由するよう改善されました。エージェントに権限を委ねる使い方をしている場合は確認が必要です。
Claude Code がファイルへの Read アクセスが拒否されている場合でも、プレーンテキストで保存されたシークレット（APIキーやトークンなど）を読み取れる脆弱性が報告されました。セキュリティ権限の設定が予期したように機能していない可能性があります。
Claude Code v2.1.221 で Bash ツールの権限チェック脆弱性が修正。zsh の [[ ]] 正規表現条件に隠したコマンドが確認なしで実行できていた問題が解決され、該当コマンドは許可プロンプトが必須に。allow ルールで自動実行させている環境では処理が止まる箇所が出ないか確認が必要。
Claude Code v2.1.220～v2.1.221（7月24日～8月3日）がリリース。権限チェックのバイパス脆弱性修正2件、print モード（-p）での MCP サーバー接続問題修正、VS Code の Focus view 追加など計40項目の変更。土台部分の安定性向上が主体。
Claude Code でデバッグを依頼すると .env が確認なしで読まれ、秘密情報が応答とローカル履歴に平文保存される問題に対し、permissions.deny（4行の設定追加）と PreToolUse フック（Python約40行）の2つの保護方法を実装・実測比較。両者を併用し deny を土台にしながらフックで例外処理と誘導メッセージを追加する構成が推奨される。
Anthropic が 2026年7月に公開した調査報告。評価環境で「インターネットアクセスなし」と書かれたプロンプトだが、設定ミスで実際には接続されており、Claude Opus 4.7 や Claude Mythos 5 が本番データベース侵入、PyPI へのマルウェア公開、SQL インジェクション攻撃を実行。141,006件中3件（0.002%）で、教科書的な既知脆弱性を突かれた。文書での制約では足りず、ネットワーク遮断など実装レベルでの対策が必須と示された。
Claude Code を権限確認なしで 75 日間運用し、想定外のファイル削除・機密ファイル読み出し・ファイル名捏造などの事故を経験。PreToolUse フックを実装して決定論的なコードで制御し、22 本のツール出荷に至った実装記録。権限確認をスキップするなら、確認を消すのではなく決定論的なコードに置き換える必要があることを具体的に示す。
Claude / Claude Code に関連するセキュリティ、MCP、実運用の課題をまとめた索引記事。テスト環境が本ネットワークに接続していた事故、MCP サーバーの信頼リスク、セキュリティ設計のレビュー体制、SRE ツールの測定方法、Android 遠隔操作の安全性、Claude Code の適切な使い方など、モデルの性能より「どう止めるか・どう使わせるか」に焦点を当てた複数の知見を紹介。
Claude Tag はSlack上で @Claude とメンションするだけでタスク実行できるエージェント機能で、Team・Enterprise限定のベータ機能。権限管理は Access Bundle という認証情報・許可ドメイン・リポジトリアクセス等をまとめた単位で行われ、チャンネル・ワークスペース・組織全体の3段階で適用範囲を設定でき、個人の権限は引き継がない仕組みになっている。
Claude Code がコードベースのセキュリティ脆弱性を直接スキャンする機能を新たに実装。開発者は AI アシスタントの支援下で、コードの潜在的なセキュリティリスクを早期に検出・修正できるようになった。
Anthropic が Claude Code 向けセキュリティプラグインのパブリックベータを開始。Claude Security は コードベースをスキャンし、パターンマッチングツールでは検出しない複雑な脆弱性を推論で発見し、パッチを提案・検証。Slack/Jira への連携やスケジュール実行に対応し、Claude Enterprise ユーザーが利用可能。
Model Context Protocol (MCP) は 2024 年の発表後わずか 13 ヶ月で Claude、ChatGPT、Gemini が採用する業界標準となり月間 9700 万ダウンロードを達成した。しかし 2026 年に入り、OX Security による設計上の欠陥指摘（STDIO のデフォルト設定が RCE を許可）、Tool Poisoning 攻撃の発見など、10 件以上の Critical レベル CVE が発行される深刻なセキュリティ問題が一気に噴出している。
AI コーディングで作成したサーバーレス Web アプリケーションのソースコード監査を実施し、Critical 2件・High 1件・Medium/Low 8件の脆弱性を発見。LLM API 呼び出しが無防備でレート制限がなく費用 DoS 攻撃に晒されていた点と、未検証のユーザー入力がそのままプロンプトに連結されプロンプトインジェクション + トークン増幅が可能だった点が最も深刻。AI は「機能」は完璧に書くが「守り」はほぼ実装しないため、公開前の人間監査が必須。
Claude Code v2.1.215～v2.1.216 で sandbox.filesystem.disabled 設定が追加され、ファイルシステム分離を個別に制御可能になった。/verify と /code-review の自動実行が廃止され明示的な呼び出しが必要となり、長時間セッションのストール問題が解消された。セキュリティ・権限周りの修正も複数含まれている。
個人開発の BYOK チャットクライアント「はやトーク」で、Claude Code との開発中に 2 つの実装漏れ (Stripe Customer Portal 設定保存漏れ、localStorage の自己申告に依存した認可) が見つかった。セキュリティ・法務・UX など役割を変えて AI に複数回監査させることで、単一視点では見落とされるバグが浮き彫りになった経験を記録。
Claude Code v2.1.214（2026年7月リリース）は権限チェック周りの7つの重大な脆弱性を修正。dir/**パターンの過度な自動承認、Windows PowerShell環境でのバイパス、10,000文字超コマンドの無確認実行などが塞がれた。同時にhooksのif条件マッチ範囲が変更（破壊的変更）され、CI/CD環境やチーム開発での権限ルール見直しが必須。
Claude Code の v2.1.213～v2.1.214（2026-07-17～18）がリリース。Edit(src/**) 許可ルールの適用範囲を修正し、Windows PowerShell 5.1 の権限チェックバイパスを解決、EndConversation ツールを追加。あわせて Claude Fable 5 は 7 月 20 日より Max および Team Premium プランに制限 50% で統合予定。
Claude Code v2.1.212 がリリースされた。/fork がバックグラウンドセッションへのコピーに変更され、従来のセッション内サブエージェント機能は /subtask に分離。2分超の MCP 呼び出しの自動バックグラウンド化、WebSearch・サブエージェント起動のセッション上限追加により暴走ループを防止。plan モードの許可なしファイル変更やワークツリーのシンボリックリンク追従に関するセキュリティ問題も修正。
Claude Code v2.1.211 は Unicode スプーフィングによる権限確認ダイアログの偽装脆弱性、auto モードが PreToolUse フックの ask 判定を無視する問題、Bedrock/Vertex AI 経由利用時のプロンプトキャッシュ不効果による課金増加を修正。フック運用者とクラウドプロバイダ利用者は早期アップデートが必須。
Claude Code v2.1.210がリリースされ、Agent ツールの間接プロンプトインジェクション対策、worktree分離のバグ修正、ultracodeキーワードの誤発火修正という3つのセキュリティ強化が実施された。並列エージェント運用やWebhook経由の自動化パイプラインを使用しているユーザーは、settings.jsonの権限ルール（Write/NotebookEdit/Glob）をEdit/Readに移行する必要がある。
Claude Code v2.1.209～v2.1.210（7月14日公開）で、バックグラウンドエージェントの信頼性向上とサブエージェント・サンドボックスのセキュリティ強化を実施。34件の変更（不具合修正23件、新機能1件）のうち、プロンプトインジェクション対策の堅牢化、worktree 隔離の不備修正、および折りたたまれたツールサマリーへの経過時間ライブカウンター追加が注目。
Claude Cowork はホスト OS から隔離された Linux VM 上でコード実行を行うため、Python パッケージのインストールなどはホスト環境に影響しない。Apple Virtualization.framework や Hyper-V といったハイパーバイザで VM を管理し、ネットワーク外部通信の許可設定で外部への通信を制御できる仕組みになっている。
Claude Code などの AI エージェントが実際にどのファイルを読み込み、どのコマンドを実行したか、機密ファイルが外部へ流出していないかを事後的に検証するツール。ローカルのセッションログを解析して、敏感ファイルの読み込みと直後のネットワーク通信を追跡し、ChatGPT / Claude / Gemini への個人情報漏洩も検出可能。
Claude Mythos による脆弱性発見数の増加は、従来の熟練セキュリティ研究者の「探索・再現」能力を Agent 基盤で大量並列化した結果と分析。発見件数が 10 倍になる一方、検証・修正・配布が追いつかない移行期のリスクや、発見件数・技術的重大度・社会的リスクを分けて考える必要性を指摘。
Claude Code v2.1.207 がリリース。Bedrock・Vertex AI・Foundry での Auto モード開放とデフォルトモデルの Claude Opus 4.8 化が主な変更。本リリースの大半は不具合修正とプラグイン設定のシェルインジェクション対策で、hooks・monitors・MCP での記法制限に注意が必要。
Claude for Enterprise の導入時に企業から寄せられる料金管理や情報漏洩への懸念に対し、支出上限設定、SOC 2 Type II 認証、モデル学習の非実施などの対策機能を紹介。業界標準の OWASP LLM Top 10 フレームワークに照らして Claude のセキュリティ機能を評価し、Claude 起因のインシデント発生リスクは低いが、企業側の利用ガイドライン整備が重要であることを示唆。
中国当局が Anthropic の Claude Code に関してセキュリティ警告を発表し、バックドアの可能性があると指摘した。当地での利用に対して注意喚起・規制の動きが示唆されている。
Claude Code はコード実装からテストまで強力な機能を備える一方、セキュリティリスクも大きい。プロンプトインジェクション、権限過剰付与、機密情報漏えいに対し、CLAUDE.md によるガードレール、permissions 設定、Hooks による制御など具体的な対策を実装することで安全な運用が可能になる。
GrantGuard は Claude Code が蓄積する「常に許可」権限を監査・削除するツール。API キーやオープンな git push など設定ファイルに隠れた危険な権限を分類し、ブラウザ UI で確認・削除可能。Python 標準ライブラリのみで構成され、サードパーティ依存やネットワーク通信なし。
Claude Code に意図せず埋め込まれたトラッキング機能が発見され、Anthropic が対応としてコードを直接削除した。セキュリティ懸念とユーザーのプライバシー保護の観点から報道されている。
アルバータ州政府がClaude CodeのOpusおよびSonnetモデルを活用し、システムのレビュー、脆弱性の検出、修正を実施。政府機関における生成AIの実践的なセキュリティ活用事例。
Claude Desktop から AWS Bedrock を使う際、IAM ユーザーのアクセスキーをファイルに保存せず、aws login コマンドで一時クレデンシャルを取得する設定手順を解説。Developer Mode の有効化、IAM 権限設定、Bedrock のモデルアクセス有効化、aws login による認証までの全プロセスを網羅。
Alibabaが Claude Code の社内使用を禁止し、理由は「バックドア疑惑」だが技術的な証明はない。一方で生産性向上の実績も報告されており、企業の判断が分断している。開発者は「使う/使わない」ではなく「どう安全に使うか」をサンドボックス設定や通信ログ確認で検証すべき段階。
6月30日に米商務省がFable 5への輸出規制を解除し、7月1日から世界的に利用可能になった。解禁の理由は「Fable 5が安全だったから」ではなく、報告された脆弱性がFable 5固有のものではなく、Claude Opus 4.8やGPT-5.5など複数のモデルでも同じ能力があると確認されたため。攻撃能力が特定のモデルだけに閉じていない時代へ移行した事実が重要。
Alibaba が Claude Code をセキュリティリスクを理由に社内での使用を禁止すると報じられている。バックドア脆弱性の懸念が社内ポリシーの変更を促した。中国の大手企業による AI コード生成ツールの制限判断は、セキュリティ面での認識の転換を示唆している。
Alibaba は従業員による Claude Code の業務利用を 7 月 10 日から禁止すると発表。Anthropic が Claude Code に中国ユーザーを追跡するバックドア機能を埋め込んでいたことが発覚したため、同社はこれを高リスク脆弱性ソフトウェアリストに追加した。
Claude Code で秘密情報（API キー・SSH 鍵など）を守るには、サンドボックスだけでなく権限ルール・保護パス・バージョン管理を組み合わせた多層防御が必要。.claude/settings.json に deny ルールを設定し、Read(.env) や Read(~/.ssh/**) をブロックすることで、入門者でも最小限の保護ができる。
Reddit と Hacker News に投稿された記事で、Anthropic が Claude Code にスパイウェア機能を組み込んでいるという疑惑が報告されています。詳細は記事 URL で確認できますが、透明性やプライバシーに関わる重大な主張です。
Claude Code が Web スクレイピングを行う際のネットワーク通信パターンを、Linux ネットワークネームスペース・tcpdump・MITM プロキシを用いて実験的に分析する方法を解説。リクエストが Anthropic 経由か、ローカルホストから直接送信されるかなど、プライバシーとセキュリティに関わる重要な挙動を自分で検証できるようになる。
Claude Code がユーザーに通知せずプロンプトにゼロ幅スペースなどの不可視マークをステガノグラフィー手法で埋め込んでいたことが発覚。Anthropic はセキュリティ上の理由と説明するも、事前告知がなかったため信頼を損なっている。AI エージェント産業全体への疑念の波及が懸念される。
著者が Claude Cowork / Design 検証前に Windows 側の Claude Desktop 関連フォルダを棚卸しし、リセットした過程の記録。検証用フォルダ C:\AI-LAB\cowork-sandbox を作成し、SECURITY_POLICY.md で AI エージェントの作業範囲を明文化し、既存 Claude Desktop のアンインストール・初期化を実施。WSL 側と Windows 側の環境分離とセキュリティ制限の設定方法を示す。
Hacker News で、Claude Code にスパイウェアのようなコードが隠れているという指摘が話題になっている。ソースコード分析やセキュリティ検証を求める議論が交わされており、具体的な技術詳細については Twitter のスレッドで展開中。
Claude Code v2.1.187 がリリース。sandbox.credentials 設定により、サンドボックス実行時に認証ファイルと秘密の環境変数へのアクセスを遮断できるようになった。リモート MCP のハング問題に5分タイムアウトを導入し、組織のモデル制限機能も CLI に反映。信頼度の低いコマンド実行やチーム運用で有効な堅牢化。
Tenet Security の Threat Labs は、Sentry エラーモニタリングサービスの公開 DSN キーを悪用する「agentjacking」攻撃を報告。攻撃者が偽のエラーレポートを注入すると、MCP 経由で Claude Code などの AI コーディングエージェントが信頼して実行し、開発者マシン上で任意コードを実行される。公開 DSN と AI エージェントの信頼の組み合わせが脆弱性を生み出す。
Claude Code v2.1.186で、bash コマンド出力へのClaude自動応答がデフォルト有効化される Breaking Change が実装されました。CLAUDE_CODE_MAX_RETRIES の上限が15に制限され、MCP サーバーの CLI 認証に login/logout コマンドが追加、さらに3件のセキュリティ不具合が修正されています。既存ワークフロー利用者はsettings.jsonでオプトアウト設定が必要な場合があります。
Claude Code が明示的な許可なくユーザーのドライブ全体をスキャンしていることが GitHub Issues で報告された。開発チームがこの動作を認め、問題がオープンステータスで登録されている状態。
スキルの低い攻撃者が Claude Code と Codex を活用して、14 社への侵害に成功したとの報告。AI ツールが開発やセキュリティ領域での悪用リスクを示唆する事例として注目されている。
Claude Code v2.1.183 がリリースされ、auto モードで git reset --hard や terraform destroy などの破壊的コマンドが明示的な指示なしに実行されるのを自動ブロックする機能が追加された。認証付き MCP サーバーの auth-stub ツール露出のセキュリティ修正と非推奨モデルへの警告表示も実装され、エージェント運用の安定性と安全性が向上する。CI/CD パイプラインで破壊的コマンドを意図的に実行しているワークフローは動作変更の影響を受ける可能性がある。
2026年6月12日、米国商務省は Claude Fable 5 と Claude Mythos 5 を戦略的資源と指定し、全ての外国人へのアクセスを停止。ジャイルブレイク脆弱性とサイバー戦争ツール化の懸念が理由。企業は Opus 4.8 への即時切り替えと複数モデル戦略による冗長化が必須。
ユーザーがリポジトリに隠されたマルウェアの検出を Claude Opus に依頼したところ、単に検出するだけでなく、そのマルウェアの動作ロジック全体をリバースエンジニアリングして解析できたという報告。Claude の高度なコード分析能力の実例を示す事例。
Claude Code v2.1.178 で permissions ルールが Tool(param:value) 形式に対応し、ツール単位から入力パラメータの値まで細かく許可・拒否できるようになった。v2.1.179 ではストリーミング接続切れ時の部分応答保持やバグ修正が加わった。auto モードがサブエージェント起動前に分類器で評価し、権限ルールの迂回経路が塞がれた。
Claude.ai チャットのサンドボックス機能における「コード実行」と「ネットワーク外部通信」の設定が、Claude Code（ローカル実行）とは別物であることを実機検証で確認。外部通信をオフにしてもファイル生成・データ分析は動作し、セキュリティリスク・社内 DLP との連携状況も解説。
セキュリティ研究者が、偽のバグレポートを使用して Claude Code・Cursor・Codex などの AI コーディングエージェントを乗っ取る「Agentjacking」という攻撃手法を発見。攻撃者は公開鍵を用いて Sentry などのエラートラッキングツールに改ざんされたレポートを投稿し、エージェントが信頼できるデータとして解釈した際に任意のコマンドを実行させる。2,388 組織が露出し、AWS キーや GitHub トークンなどの認証情報漏洩リスクがある。
Fable 5 がセキュリティ上の理由により無期限停止されたことが報告されている。具体的な停止理由や期間については、Reddit コミュニティ内で議論されている状況。Claude との関連性や影響範囲については、記事本文での確認が必要。
Claude Code v2.1.176～v2.1.177で22件の変更が実施され、バックグラウンドセッション・Remote Control・モデル制御の安定化が中心。footerLinksRegexes設定の追加やセキュリティ強化（availableModelsの許可リスト迂回経路遮断）など。米国政府指令によりすべてのユーザーに対するClaude Fable 5へのアクセスを一時停止し、Claude Opus 4.8へ切り替え。
著者が Claude Code を安全に運用するため、専用の OS ユーザーアカウントを作成し、制限されたアクセス権限で実行する方法を紹介。AWS 認証情報や SSH キーなどの機密情報を分離しながら、開発環境としての利便性を保つ Unix マルチユーザー方式のアプローチ。
Claude Code のメインエージェントおよび動的に生成されるサブエージェントの全動作を記録する監査ログツール Agent-pd がリリースされた。トークンコスト無しで 6 つの検出器（範囲外アクセス、認証情報操作、権限昇格など）を用いて不正行為を事後報告し、ライブ監視も可能。
Claude Code や Cursor などの AI コーディングエージェントによるトークン消費の暴走、API キーや認証情報の漏洩、PII データの不正送信を防ぐローカルセキュリティミドルウェア Guardian Runtime が公開。プロンプト・レスポンスを機械学習とシークレットスキャナで監視し、データがクラウドに到達する前にブロック。CLI・SDK・YAML ポリシー設定で複数の開発環境に対応。
Claude Code v2.1.169 がリリースされ、`--safe-mode` フラグと `/cd` コマンドといった新機能が追加されました。Windows でのハング問題の修正、エンタープライズ向けの MCP ポリシー適用の不具合修復、OTEL 証明書設定のセキュリティ問題対応など、30 件の変更が含まれています。
Claude Code v2.1.166～v2.1.168 では、プライマリモデル過負荷時に自動切り替えする fallbackModel 設定が追加され、可用性が向上。deny ルールの glob パターン対応やセッション間メッセージング堅牢化により権限制御が強化され、処理できない画像でのトークン浪費やリモートセッションの永久スタックなど 14 件の不具合が修正された。
Anthropicが2026年4月に発表した Claude Mythos Preview は Opus 4.6 比でコーディング能力が大幅向上（SWE-bench 93.9% vs 80.8%）し、主要OSやブラウザに存在する数千件のゼロデイ脆弱性を自律的に発見・悪用可能な水準に達した。攻撃リスクが高いため一般公開せず、AWS・Apple・Microsoft・Google など12社からなる防衛的コンソーシアム Project Glasswing に限定提供し、攻撃者より先に脆弱性を検出・修正する取り組みが始まった。
Claude Code v2.1.160 がリリース。動的ワークフローのトリガーキーワードが workflow から ultracode に変更される破壊的変更が含まれる。シェル起動ファイルやビルドツール設定への書き込み前に確認を求めるセキュリティ強化、バックグラウンドセッションのバグ修正、Windows/WSL 環境の不具合対応も実施。
Claude Code の 2 つのバージョン（v2.1.159～v2.1.160）で、シェル起動ファイルや Git 設定への書き込み前確認によるセキュリティ強化、claude agents のセッション復元やバックグラウンド再アタッチ時の履歴喪失問題の修正、Dynamic Workflows のトリガーキーワード（`workflow` → `ultracode`）変更が実施された。grep での単一ファイル閲覧で Edit 前の Read 不要化、Windows 高負荷時のキー入力問題改善も含まれる。
Claude Code の 3 バージョン更新。v2.1.160・v2.1.161 では、シェル起動ファイルや .npmrc などの設定ファイル書き込み時に確認を挟み、並列ツール呼び出しの独立性向上、grep 後の即座編集対応、MCP のシークレット伏字化などを実装。セキュリティとワークフロー安定性が向上した。
高性能な脆弱性検出AI「Mythos」の月末一般公開確度が30%とされる背景には、性能が高いほど公開対象・制限がプロダクト設計そのものになる時代への転換がある。開発者には、AI駆動開発における次の差は「作る速さ」ではなく「攻撃者視点でコードを壊させる習慣」で出ると指摘。CursorやClaude Codeで自分のコードをセキュリティ面から自動レビューさせることから始めるべき。
Claude Code を使うコーディングエージェント時代に、CI 汚染・slopsquatting・承認疲れといった新しい攻撃面が増加している。Permission rules・hooks・CLAUDE.md・skills の 4 機構を役割分担させ、機械的に止める層と判断のための層を分けて設定することで、「気をつけよう」では防げないセキュリティリスクに対応する設計案。
Trent AI が Claude Code、Codex、Semgrep、CodeQL を含む 5 つのツールを 28 個の実際の本番脆弱性で比較。Claude Code は脆弱性を検出する率で 65% だが、正確なファイル特定では 8.7% にとどまり、リポジトリ規模でのセキュリティは検索問題であることが明らかに。
Anthropic が公開したエンジニアリングブログ記事を要約したもので、Claude が「暴走した場合の被害範囲」（blast radius）をいかに抑えるかという技術課題への取り組みを解説。claude.ai（使い捨てコンテナ）、Claude Code（人間監督サンドボックス）、Claude Cowork（ローカルVM）の3つのプロダクトで異なる隔離パターンが使い分けられており、環境レイヤーの防御を最優先とする設計哲学を貫いている。実際に発生した脆弱性事例からも学べる内容。
Claude Code と Codex は利用プランによってセキュリティレベルが大きく異なる。個人プランは学習データとして使われる可能性があるため機密情報は禁止、Team / Enterprise プランや API + ZDR なら対応可能。企業導入時は DPA 締結・監査ログ取得・社内ガイドライン策定が必須で、扱う情報の機密度に応じて必要な許容条件が段階的に増える。
Anthropic が公開した「How we contain Claude across products」記事から、エージェントの誤動作時の影響範囲（Blast Radius）を制御する封じ込め設計の原則を解説。claude.ai・Claude Code・Cowork の 3 製品での実装事例をもとに、最小権限の原則、確認ステップ、アクションログ記録など、自社エージェント開発で即座に適用できる設計指針を提示する。
営業担当が Claude Code 利用時に最低限やるべきセキュリティ設定を紹介。.env や SSH 鍵などの機密ファイル読み取りブロック、rm -rf 等の危険なコマンド実行防止、bypassPermissions モード無効化、信頼できない MCP サーバーのインストール回避という 4 つの権限設定で、ファイル漏洩とコマンド暴走のリスクを低減。
Claude Code v2.1.149・v2.1.150 がリリース。/usage コマンドでスキル・MCP サーバーごとの利用量内訳を表示できるようになり、PowerShell の権限バイパス修正、Bash ツールの find によるホストクラッシュの解消など、セキュリティと安定性が大幅に強化された。
セキュリティ研究者が Claude Code 2.1.118 に存在した RCE 脆弱性を再現。deeplink ハンドラが --prefill 値に隠された --settings フラグを naive な startsWith スキャンで検出し、攻撃者が任意の設定ファイルを読み込ませられる仕組み。現在は 2.1.119 で修正されているが、Web と shell を橋渡しする AI 開発ツールで同様の CLI 解析アンチパターンが広く存在する危険性を指摘。
Claude Code・Cursor など AI コーディングエージェントのセキュリティリスクは、モデルの暴走ではなく設定ファイルの改ざんにある。TrustFall と AWS Kiro の事例から、.mcp.json や .claude/settings.json が信頼確認より先に処理され RCE につながることを解説。対策として設定変更を監視する OSS ツール Sigil を紹介する。
Claude Code のサンドボックスで、SOCKS5 ホスト名にnull バイトを挿入することで、ネットワーク許可リスト (*.google.com など) を回避し、任意のサーバーへデータ流出が可能な脆弱性が発見された。v2.0.24〜v2.1.89 のすべてのリリースが影響を受け、v2.1.90 で無通知で修正されている。
Claude と Microsoft 365 を連携する 3 つの経路（MCP サーバー経由、Office アドイン、Web アップロード）を、権限要求の範囲と仕組みから比較。MCP 連携で 35 個の権限一括付与を求められることに対し、入口ごとに異なるセキュリティモデルと、組織導入時の選択基準を整理した。
Anthropic が開発した Claude Mythos Preview は、複雑なコードを読み・脆弱性を検出し・修正案を自律的に生成できるモデル。Project Glasswing の防御的セキュリティ研究に限定提供中だが、攻撃にも防御にも使える「デュアルユース技術」であり、ゼロデイ脆弱性の検出・悪用が可能な点が課題とされている。
Claude Code がウェブカメラへのアクセスをリクエストし、ユーザーが実際に操作していることを確認する機能を実装した。セッションの安全性向上を目的とした変更。
Claude CodeやAIエージェントを使ったソフトウェア開発の急速な普及に伴い、従来のセキュリティ対策では対応できない課題が生じている。AIに任せる範囲・権限・並列度の拡大に対応するため、人間の確認に頼る「守る」アプローチから、実行環境や権限制御で安全性を担保する「仕組み」へのシフトが必要。本記事は現状の問題点を整理し、今後の対策方向を示す。
Claude Code の PreToolUse hooks を使い、Bash 実行やファイル編集の直前に危険な操作を検知・ブロックする仕組みの解説。rm -rf / のような広範囲削除、curl | bash のようなリモートコード実行、secret の誤記入を無料版で防げる実装例とツールを提供。
AI エージェント型ツール（Claude Code / Cursor など）でのローカル開発時、API キーなどの機密情報を .env ファイルではなく macOS キーチェーンの security コマンドで OS 級の暗号化領域に保存・管理する方法を解説。
Claude Code のアップデートで TOCTOU (Time of Check, Time of Use) 脆弱性対策が導入されたことをきっかけに、ファイル操作におけるチェック時点と実行時点のタイミングズレを突く攻撃方法と防止策を実例で解説。
