# 他人のリポジトリがClaude Codeを乗っ取る仕組み：身を守る7つのルール
> リポジトリ、GitHubの文章、Sentryイベント、MCPメタデータを通じた4つの間接注入経路を、一次研究と実践的な封じ込めの限界とともに解説します。
Source: https://ailoot.ai/blog/ja/malicious-repository-claude-code/
Canonical: https://ailoot.ai/blog/ja/malicious-repository-claude-code/
Language: ja
Publisher: Ailoot (https://ailoot.ai/)
Translation: guide-148
Revision: sha256-536f16f20f12410dc6344426500549d7fd46d706a9d12af4c034e7283a7c90c2
重要なポイント
公開研究には、設定手順、GitHubの文章、テレメトリー、MCPツールのメタデータという4つの間接的注入経路があります。報告の日付、クライアント、権限設定は異なります。以下では一次資料と実践的な封じ込め策を示しますが、無効化を保証する設定ファイルはありません。
[Ailootドキュメント：API、キー、セットアップ](https://ailoot.ai/docs/)。
## 信頼できない文章からエージェントの操作へつながる4つの記録された経路
重要なポイント
これらは異なる研究期間とクライアント設定の例で、同じ2週間に起きた4件の発見ではありません。信用できない資料がツール利用へ影響する仕組みを示しますが、結果は実装上の問題、使える認証情報、実行権限によって決まります。
正式には、これは間接的プロンプトインジェクションと呼ばれます。悪意ある指示があなたから直接ではなく、タスクの実行中にエージェントが処理するデータ、たとえば他人のREADME、エラーメッセージ、GitHubのコメント、外部サービスからの応答を通じて届きます。この段落を読んだら、この用語は忘れてかまいません。ここからは平易な言葉で説明します。
以下で取り上げる研究例は4つです。
1. 無害に見えるリポジトリがリバースシェルに変わる仕組みが示されました。
2. プルリクエストのタイトルで、3種類のAIエージェントを同時に乗っ取る手法が示されました。
3. エージェントが本物のSentryエラーレポートの代わりに偽のレポートを受け入れることが示されました。
4. MCPツールの説明に埋め込んだ指示が、モデルや設定に応じてエージェントへ影響することが評価されました。
## 無害そうなリポジトリのREADMEが、どうやってリバースシェルにつながるのか？
重要なポイント
[0DINが2026年6月25日に公開した概念実証](https://0din.ai/blog/clone-this-repo-and-i-own-your-machine)は、次の経路を示しています。普通に見えるリポジトリをクローンしてClaude Codeに実行を頼むと、Claude Codeはインストール手順に忠実に従います。初回実行時のエラーが「修正」コマンドを提案しますが、実際には攻撃者のDNSレコードを引いてリバースシェルを起動します。引用元は手法を実証していますが、現実のインシデントで使われた頻度は確認していません。
この仕組みは、どの層も単独では疑わしく見えないように設計されています。
1. 普通に見えるリポジトリをクローンし、Claude Codeに実行を頼みます。
2. リポジトリは、初回使用時に失敗するよう設計されたPythonパッケージを取り込みます。
3. エラーメッセージが丁寧に「修正」コマンド`python3 -m axiom init`を提案します。
4. `init`コマンドが`setup.sh`を実行します。
5. スクリプトはDNS TXTレコードを照会します（通常はドメインに関するメモに使われますが、任意のテキストを格納できます）。攻撃者はそこにbase64エンコードされたコマンドを置きます。これは、空白や特殊文字を使わずに任意のデータをプレーンテキストに変換する方法で、そのままbashに渡されます。
6. DNSレコードの値はいつでも変更できます。これにより攻撃者は、あなたのユーザー権限と、そのマシン上のすべての秘密情報へのアクセスを持つ対話型リバースシェルを得られます。
この実証では最終ペイロードを実行時にDNSから取得するため、リポジトリのバイト列だけの検査では見つかりませんでした。すべてのスキャナーや実行時制御が無力という証明ではありません。取得内容の検査、プロセス監視、通信制限で経路を見つけたり中断したりできます。資料は概念実証で、現実のインシデントの普及率を測ったものではありません。
## プルリクエストのタイトルは、どうやって3種類のAIエージェントを乗っ取ったのか？
重要なポイント
2026年4月15日公開、5月4日更新の[Comment and Control調査報告](https://oddguan.com/blog/comment-and-control-prompt-injection-credential-theft-claude-code-gemini-cli-github-copilot/)は、Claude Code Security Review、Gemini CLI Action、Copilot AgentそれぞれのGitHub文章からの注入経路を記録しています。深刻度の引き下げは、注入という種類全体の修正の証明ではありません。報告は各社の対応と、Claudeの特定ツールの制限を説明しています。
調査報告は、各経路と対応を説明しています。過去の事例の記録であり、各製品の現在の全バージョンを検証したものではありません。
| エージェント | 攻撃の侵入経路 | 漏えいしたもの | 現在の状況 |
|----|----|----|----|
| Claude Code Security Review | PRタイトルがサニタイズなしでシステムプロンプトに直接埋め込まれた | `ANTHROPIC_API_KEY`、`GITHUB_TOKEN` | 報告ではpsの制限と文書変更。2026年4月20日に深刻度をNoneへ変更 |
| Gemini CLI Action | コメント内の偽の「Trusted Content」セクションが安全指示を回避した | `GEMINI_API_KEY` | Googleはシステムプロンプトに別個のガードレール用プロンプトを追加 |
| GitHub Copilot Agent | Markdown内の見えないHTMLコメントにペイロードが隠されていた | `GITHUB_COPILOT_API_TOKEN`、`COPILOT_JOB_NONCE` | GitHubはこれをバグではなく、アーキテクチャ上の制約とみなしている |
この情報開示サイクルの最初と最後の報告の間には、ほぼ5か月ありました（最初のClaude Codeの報告は2025年10月17日、最後のGitHub Copilotのバグ修正は2026年3月9日）。報告の深刻度変更と緩和策だけでは、あらゆるペイロードへの対処完了とはいえません。[調査のPoCリポジトリ](https://github.com/0dd/Claude-review-poc)にClaudeの実証経路がありますが、実システムで攻撃を実行しないでください。あなたにとって役立つのは、攻撃のパターンそのものです。GitHubから未検証のデータがエージェントに入り、エージェントがコマンドを実行し、同じGitHub経由で秘密情報が漏れます。攻撃者が外部サーバーを用意する必要はありません。
パターンを把握するには、2つの分析を読めば十分です。新たな発見のたびに個別に修正するのは現実的ではありません。各報告の研究時期や設定を、一次資料で分けて確認する必要があります。CLAUDE.mdとsettings.jsonにセキュリティルールを明記し、頭の中だけに置かないことは、コンテキストエンジニアリングの一部です。一度設定すれば、毎回思い出させなくても、新しいClaude Codeセッションごとに自動で機能します。3つの柱が連携します。**AIクローン + セカンドブレイン + コンテキストエンジニアリング**。この組み合わせにより、Claude Codeは何でも信頼して実行する存在から、明示的なルールを持つエージェントへと変わります。
## 偽のSentryエラーレポートでエージェントを乗っ取れるのか？
重要なポイント
攻撃者が偽のエラーイベントをSentryに送り、エージェントがMCP経由でイシュー一覧を取得すると、正規のものに混じって悪意あるイベントを受け取り、その中に埋め込まれたコマンドを「修正手順」として実行します。2026年6月17日更新の[TenetのAgentjacking報告](https://tenetsecurity.ai/blog/agentjacking-coding-agents-with-fake-sentry-errors/)は、Claude Code、Cursor、Codexを含む100回超のエージェント実行と、管理された検証群全体で85%の成功を報告しています。6月2日のClaude Code 2-1-161の記録はありますが、完全なモデル別一覧、再現ハーネス、正確な試行分母、クライアント別内訳はありません。現在の任意の環境が侵害される確率ではなく、研究側の集計観察として扱ってください。
この攻撃に必要なのはSentryのDSNキーだけです。これは公開識別子で、多くのプロジェクトがクライアント側コードにそのまま含めています。
仕組みは単純です。開発者がエージェントに未解決のSentryエラーを調べるよう頼みます。エージェントはMCPサーバー経由でそれらを要求し、本物に混じった悪意あるイベントを受け取ります。そして、エラーを直すタスクを正式に依頼されているため、その中に埋め込まれたコマンドを信頼できる修正指示として読み取ります。
Tenetは検証環境の既存制御が警報を出さなかったと報告しています。すべての環境で痕跡が残らない証拠ではありません。エージェントやツールのログ、端末の観測、通信記録には後続操作が残りえます。外部からのテレメトリーで始まり、その後は実際のツールと権限に依存する攻撃です。
## MCPツールの説明は、なぜシステムプロンプトと同じくらい危険なのか？
重要なポイント
ツールのメタデータにはモデルへ影響する指示を含められますが、自動的にシステムプロンプトと同じ権限になるわけではありません。2025年8月19日初稿の[MCPTox](https://arxiv.org/abs/2508.14925)は、現実的なMCPツールでツール汚染を評価し、モデルと設定による感受性の差を報告しています。高性能モデルほど影響される場合があるという観察は、そのベンチマーク内の結果で、普遍的法則ではありません。
Microsoftの表現は、このテーマについて私が見つけた中で最も的確です。
この手法はツールポイズニングと呼ばれます。無害なツールの説明に隠された指示によって、エージェントがその指示に従って動作します。
このテストではClaude 3.7 Sonnetが最も高い耐性を示しましたが、それでも汚染された指示に従うのを拒否したケースは3%未満でした。最良のモデルでさえ、耐性は保護というより運に左右されます。このベンチマークの直感に反する結論は、モデルが指示に忠実に従うほど、メタデータに隠されたコマンドを正当なものと見分けるのが難しくなるということです。モデルの強みが、逆に弱点として働きます。
## これらの攻撃に共通するものと、検知で見落としうるものは？
重要なポイント
4件の発見はいずれも同じ盲点を突いています。エージェントは「分析するデータ」と「従うべき指示」を区別しません。リポジトリだけの検査は、後からツールや通信で届くペイロードを見落とす場合があります。検知は有用ですが、実行経路全体を考慮する必要があります。エージェントの見抜く力だけに頼らず、ファイル、認証情報、ツール、通信への制限と組み合わせてください。
結論は4件すべてに当てはまります。「コードが普通に見える」ことは当てになりません。攻撃の各手順は、実際に単独では無害です。実効的に使える能力を制限し、提案する操作を確認してください。検知と封じ込めは、攻撃の異なる部分へ対処します。
## Claude Codeにはどんな保護機能があり、なぜそれだけでは不十分なのか？
重要なポイント
Claude Codeには組み込みの保護機能があります。プロンプト全体から不審な指示を分析し、ウェブコンテンツには分離されたコンテキストウィンドウを使い、新しいフォルダーで初めて起動するときやMCPサーバーに接続するときに信頼を確認します。しかし、多くの人が煩わしい許可確認をなくすために使う`--dangerously-skip-permissions`フラグは、これらの保護を一度にすべて無効にします。
Anthropicは問題を隠さず、[ドキュメント](https://code.claude.com/docs/en/security)で率直に認めています。
プロンプトインジェクションとは、悪意あるテキストを挿入してAIアシスタントの指示を上書きまたは変更しようとする手法です。Claude Codeには、こうした攻撃に対する複数の保護機能があります。
— Claude Codeのドキュメント、https://code.claude.com/docs/en/security
ドキュメントによれば、エージェントはプロンプト全体を分析して不審な指示を探し、`curl`と`wget`を自動承認せず、ウェブコンテンツを別のコンテキストウィンドウに保持してメインのものと混ざらないようにし、新しいコードベースで初めて起動するときや、新しいMCPサーバーに接続するときに信頼の確認を求めます。
ただし、Anthropicは重大な注意点を明言しています。
bypassPermissionsモードは、プロンプトインジェクションや意図しない操作に対する保護を提供しません。
— Claude Codeのドキュメント、https://code.claude.com/docs/en/permission-modes
「質問ばかりするのをやめさせよう」と苛立って`--dangerously-skip-permissions`を付けてClaude Codeを起動したことがあるなら、そのとき上記の4つの攻撃を防げたはずの仕組みをすべて無効にしています。私はセッション中にClaude Codeが10回目の確認を求めてきても、このフラグは意図的にオフにしています。煩わしいことはありますが、その確認が「エージェントが不審なテキストを読んだ」状態と「エージェントがそれを実行した」状態の境界だからです。プログラマーでない人には、標準の許可モード（`default`または`acceptEdits`）とサンドボックスの有効化が妥当な設定です。通常のファイル編集は追加の確認なしで行われ、ターミナルコマンドは、エージェントがだまされても物理的にサンドボックスから出られません。
## サンドボックスモードを有効にして、既定設定に残る隙間を塞ぐには？
重要なポイント
Claude Codeのセッションで`/sandbox`コマンドを実行すると、エージェントが書き込める場所と接続できるドメインを制限できます。macOSではそのまま動作します。LinuxとWSL2では`bubblewrap`と`socat`パッケージが必要です。重要な点として、サンドボックスは既定では`~/.ssh`などのファイルの読み取りをブロックしません。これは別途有効にする必要があります。
すべてのプロジェクトで恒久的に有効にするには、`~/.claude/settings.json`を一か所変更します。
```json
{
"sandbox": { "enabled": true }
}
```
既定では、サンドボックス内のコマンドが書き込めるのは、プロジェクトの作業ディレクトリとセッションの一時ディレクトリだけです。ネットワークアクセスはプロキシ経由になります。事前に許可されたドメインはなく、新しいドメインに初めて接続するとき、Claude Codeは確認を求めます。[Anthropicによると](https://www.anthropic.com/engineering/claude-code-sandboxing)、社内測定で84%削減されたように、許可確認を大幅に減らします。確認のたびに尋ねる代わりに、サンドボックスが安全なケースの一部を処理するためです。
標準設定では、サンドボックスは既定で*書き込み*を制限しますが、`~/.aws/credentials`や`~/.ssh`などのファイルの*読み取り*は防ぎません。こうしたファイルや環境変数へのアクセスを防ぐには、同じファイルに別のブロックを追加します。
```json
{
"sandbox": {
"enabled": true,
"credentials": {
"files": [
{ "path": "~/.aws/credentials", "mode": "deny" },
{ "path": "~/.ssh", "mode": "deny" }
],
"envVars": [
{ "name": "GITHUB_TOKEN", "mode": "deny" },
{ "name": "NPM_TOKEN", "mode": "deny" }
]
}
}
}
```
要点は、最初の分析にあったリバースシェルがサンドボックス内で起動しても、プロセスの開始前にこれらの変数とファイルが環境から物理的に取り除かれ、盗めるものが何も残らないことです。
## 今日追加すべきpermissions.denyルールは？
重要なポイント
settings.jsonの`permissions.deny`は、意図を分析するのではなく、ルール単位で特定の操作をブロックします。さらにAnthropicは、denyルールが必ずallowルールより優先されると明言しています。denyルールは一致するツール操作を制限しますが、OSレベルのアクセス境界ではありません。間接的なコマンドや別ツールには、それぞれの制御が必要です。
プログラマーでない人向けに、4つの攻撃すべての主な標的を一度にカバーする最小限の設定です。
```json
{
"permissions": {
"deny": [
"Read(~/.ssh/**)",
"Read(~/.aws/credentials)",
"Read(.env)",
"Bash(curl *)",
"Bash(wget *)",
"Bash(sudo *)"
]
}
}
```
[Claude Codeのドキュメント](https://code.claude.com/docs/en/permissions)によれば、denyルールは常にallowルールより優先されます。あなた自身、またはエージェントが誤って別の場所で広範なアクセスを許可しても、個別のdenyが先に適用されます。この優先順位は一致したツール要求に適用されます。すべての子プロセスやツールから秘密情報に到達できない証明ではありません。強制されるファイルシステムと環境の制限も使ってください。
Claude Codeには`auto`モードもあります。別の分類モデルがアクションの実行前にチェックします。これは、確認の回数を減らすための研究モードであり、それだけで安全が保証されるわけではないとAnthropicは警告しています。サンドボックスやpermissions.denyの代わりではなく、追加の層として扱ってください。
## エージェントに信頼させる前に、リポジトリやMCPサーバーを確認するには？
重要なポイント
Claude Codeに他人のリポジトリを実行させる前に、作成時期、コミット履歴、リンクの入手元を確認してください。MCPサーバーをインストールする前には、信頼できるソースだけを使い、Anthropic自身はサードパーティ製サーバーのセキュリティをチェックしていないことを覚えておいてください。どちらのチェックリストも数分で終わり、上記4件の攻撃で使われた侵入口をすべてカバーします。
リポジトリをエージェントに渡す前に、次の短いチェックリストを確認してください。
1. 出所不明のメール、投稿、レビューにあるリンクから、いきなりインストールしないでください。こうしたリポジトリはまさにこの方法で配布されます。
2. インストール時にエラーが出て「修正のためにコマンドXを実行してください」と指示されたら、Claude Codeに許可する前に、Xが実際に何をするか読んでください。上記の攻撃で使われた指示は、まったく日常的なものに見えました。それが狙いでした。
3. 星の数だけでなく、リポジトリの作成時期とコミット履歴を確認してください。新しく作られたリポジトリには、この種の攻撃を狙って偽のスターを簡単に付けられます。
4. リポジトリの出所が不明なら、実際のキーがある仕事用マシンではなく、仮想マシン内でインストールしてください。これは外部サービスを扱う際の[Anthropic自身の直接的な推奨](https://code.claude.com/docs/en/security)です。
Anthropicの[MCPサーバーに関する立場は明示されています](https://code.claude.com/docs/en/security)。
独自のMCPサーバーを作成するか、信頼できるプロバイダーのサーバーを使うことを推奨します。Anthropicはディレクトリに追加する前に掲載基準に照らしてコネクターを審査しますが、セキュリティ監査は行わず、MCPサーバーも運用していません。
— Claude Codeのドキュメント、https://code.claude.com/docs/en/security
つまり、インストール先のプラットフォームではなく、サードパーティ製MCPサーバーを確認する責任はあなたにあります。主にセキュリティ系スタートアップを中心に、すでにツールが開発されています。汚染された説明を探すMCP設定スキャナーや、初回インストール時に説明のハッシュを保存し、後の変更を警告するツールの「ピン留め」です。こうした技術はまだ発展途上なので、唯一の保護策として頼るには時期尚早ですが、特にMCPサーバーを本番環境につなぐ場合は注目に値します。本番環境との接続では、各パッケージのバージョンを固定し、ツールの説明のフィンガープリントを監査ログに記録できます。
## 保護のための7つのルール：今日のチェックリスト
重要なポイント
このガイドの内容は、具体的な7つの行動にまとめられます。1つのsettings.jsonファイルに3つの変更（sandbox、credentials、permissions.deny）を加え、他人のコード、エラー、MCPサーバーを扱う際に4つの習慣を守ります。特別な知識は必要ありません。チェックリスト全体は20分もかかりません。
1. サンドボックスモード（`/sandbox`または`~/.claude/settings.json`の`"sandbox": {"enabled": true}`）を有効にし、`~/.ssh`と`~/.aws/credentials`の読み取りを防ぐ`credentials`ブロックを追加します。
2. 秘密ファイルの読み取りと危険なbashコマンド（`curl`、`wget`、`sudo`）を対象とする`permissions.deny`ルールを追加します。denyは常にallowより優先されます。
3. 他人のコードや未検証のコードでは、絶対に`--dangerously-skip-permissions`を実行しないでください。これを使うと、まさに今回の攻撃を止められたはずのものも含め、すべての保護が一度に無効になります。
4. エラーメッセージにある「修正」コマンドをClaude Codeに自動実行させないでください。まず実際に何をするのか読みましょう。
5. MCPサーバーは信頼できるソースからのみインストールし、Anthropicがあなたに代わってセキュリティを確認してくれるわけではないことを覚えておいてください。
6. セッションを権限ごとに分けます。1つ目は個人データを扱い、外部データを見ません。2つ目は他人のメール、リポジトリ、チケットを調べますが、秘密情報にはアクセスできません。3つ目は外部に公開し、公開するのはあなたが個人的に承認したものだけです。私は自分のプロジェクトでこのルールを厳守しています。支払いキーにアクセスできるセッションでは、出所不明の外部チケットやリポジトリを読みません。他人のコードを解析するセッションには、秘密情報を一切見せません。この3つの役割を一つのチャットに混ぜないでください。
7. Claude Codeと接続した自動化スクリプトを最新の状態に保ちましょう。ここで説明した隙間のほとんどは、このガイドの公開時点ですでにパッチで塞がれており、新たな隙間も同様の方法で修正されます。
## 次にすること
どの層も保証にはなりません。Anthropic自身も、完全な免疫をもたらす保護はないと率直に述べています。エラーのメッセージやイシューのコメントにあるだましを、Claude Codeが単独で見抜くとは期待していません。私にとって、サンドボックスと`permissions.deny`はプロジェクトのコンテキストを管理する方法の一部です。エージェントが何を見るか、既定で何を信頼するか、そして間違えたときに何が起こるかを決めます。
### 出典
- [0DIN：リポジトリからの侵害の概念実証（2026年6月25日）](https://0din.ai/blog/clone-this-repo-and-i-own-your-machine)
- [Comment and Control調査報告（2026年4月15日、5月4日更新）](https://oddguan.com/blog/comment-and-control-prompt-injection-credential-theft-claude-code-gemini-cli-github-copilot/)
- [Tenet Threat Labs：Agentjacking（2026年6月17日更新）](https://tenetsecurity.ai/blog/agentjacking-coding-agents-with-fake-sentry-errors/)
- [MCPTox：ツール汚染の一次ベンチマーク](https://arxiv.org/abs/2508.14925)
- [Claude Code Docs - Permission Modes](https://code.claude.com/docs/en/permission-modes)
- [Anthropic Engineering - Claude Code Sandboxing](https://www.anthropic.com/engineering/claude-code-sandboxing)
- [Claude Code Docs - Permissions](https://code.claude.com/docs/en/permissions)
- [Claude Code Docs - Security Best Practices](https://code.claude.com/docs/en/security)
- [Claude Code Docs - Model Context Protocol (MCP)](https://code.claude.com/docs/en/mcp)
- [Claude Code GitHub Actionに関する関連脆弱性の分析](https://ailoot.ai/blog/ja/claude-code-github-action-security/)
- [Claude Codeを一晩でプロジェクトを壊さないように設定する方法](https://ailoot.ai/blog/ja/claude-code-safe-overnight-setup/)
- [Claude Code MCPサーバー：すぐに使える7つの設定と手順を追ったインストール方法](https://ailoot.ai/blog/ja/mcp-servers-claude-code/)
- [バイブコーディングのセキュリティ：AIで作成したアプリがハッキングされるのを防ぐ方法](https://ailoot.ai/blog/ja/vibe-coding-security/)
Ailootを通じてニューラルネットワークを利用したい場合は、[Ailoot](https://ailoot.ai/)をご覧ください。
## 他人のリポジトリがClaude Codeを乗っ取る仕組み：身を守る7つのルール：よくある質問
### 報告の成功率85%は、自分の現在の環境の危険度ですか？
いいえ。Tenetの管理された検証群の集計で、完全なモデル一覧、再現可能なハーネス、正確な試行分母は公開されていません。実行可能な操作は、自分のエージェントのツール、承認、認証情報、ネットワーク権限で決まります。
### クローンしたリポジトリだけの検査では、なぜ足りませんか？
最終ペイロードは、後からエラーレポート、ツール説明、DNSからの取得内容を通じて届く場合があります。実行経路全体を調べ、認証、ファイル、ツール、通信を制限してください。スキャナーやdenyルールだけでは完全な封じ込めの証明になりません。
## Ailoot · 企業とそのプロジェクト群
Ailootは、蓄積した運営経験、幅広い顧客基盤、安定したサービス、継続的なKPI管理を基盤としています。
企業とそのプロジェクト群：数百万の顧客、毎月数十億規模の売上。
Ailootはこの運営経験を、お客様の製品、エージェント、アプリケーション、自動化でAI機能を利用するためのAPIアクセスに活かしています。