ClaudeやCodexが偽コマンド実行、研究者が確認

セキュリティ研究者のAlon Hertzが、企業が自社サイトの情報をAIエージェントに読ませるために公開する「llms.txt」というテキストファイルを悪用すれば、悪意あるインストールコマンドを企業ネットワークに送り込めることを見つけた。Ars Technicaの報道を伝えた記事によれば、この手口の概念実証コードをAnthropicのClaude、OpenAIのCodex、Nous ResearchのHermesがいずれも実行し、認証企業Clerkでは、パッケージ実行用のコマンド「npx」を悪用したなりすまし事件に実際につながっていたという。

この報道は、イスラエルのステルス企業に所属する研究者らによる大規模な検証にも触れている。研究者らは防衛関連企業・フォーチュン500企業・大手テック企業に紐づく6214の稼働中ドメインをスキャンし、調べた8265件のllms.txt・llms-full.txtファイルのうち120件が、誰も登録していないパッケージ名やドメインを参照していた。企業ドキュメント内では227個のインストールコマンドが、所有者不明のコードを指していたとも報じられている。研究者らは未登録のパッケージ名の一部を実際に登録し、実行されると発信元へ通信するだけの無害なパッケージをホストして様子を見た。すると1時間以内に、あるフォーチュン500企業からコールバックが届いた。処理ログはClaude・Codex・Hermesを含むAIコーディングエージェントを指し示していたという(この報道が出る前の時点で、Anthropic・OpenAI・Nousはコメントに応じていない)。

Clerkの事例は仕組みをよく表している。同社のサイトにあったllmsファイルには「npx clerk-next-fix-auth-protection」というコマンドが載っていたが、誰かが先にこの名前を空きパッケージとして登録し、マルウェアをホストしていた。npxはパッケージをキャッシュに取得してそのバイナリを実行でき、プロジェクトの依存関係ファイルに記録を残さない。AIエージェントが「サイトの指示通りに」このコマンドを提案し、人がそのまま実行すれば、何が起きたか気づく手がかりがほとんど残らない。Clerkはこの問題をすでに解決したとされる。

会議の議事録作成やナレッジ管理でAIエージェントを使う場面が増えるほど、この構造は他人事ではなくなる。AIエージェントは、渡された文書に書かれた指示を「タスクの一部」として素直に実行する設計になっている。相手がWebサイトのFAQでも、社内Wikiのセットアップ手順でも、AIにとっては同じ「読んで従うべきテキスト」であり、そこに紛れ込んだコマンドを疑わず実行してしまう可能性がある。ツール導入や環境構築の手順をAIエージェントに任せている職場では、提案されたコマンドをそのまま実行する前に人が中身を読む一手間が、実質的な防御線になる。

AIエージェントが提示するインストールコマンドは、その出どころが「AIエージェント向け公式文書」であっても、実行前に人が目視確認すべきだ。今回の検証では、善意の実証用パッケージでさえ1時間以内にフォーチュン500企業からの通信を引き起こしており、この経路が理論上の脆弱性ではなく実際に機能することを示している。加えて、2026年3月のProGEO.ai調査では、フォーチュン500のうちllms.txtを公開しているのはわずか37社(7.4%)で、92.8%が備えているrobots.txtと比べて管理体制が薄い。企業側の公開・審査プロセスがまだ成熟していない分野だからこそ、実行する側の一手間を省略するわけにはいかない。

llms.txtを公開する企業の側にも、パッケージ名やドメインの実在確認を運用に組み込むべきだという課題が残る。Clerkの事例は、企業が意図して書いたコマンドの綴りが、たまたま未登録のパッケージ名と一致しただけで攻撃者に利用され得ることを示した。Ars Technicaの取材でHertzは、企業とAIエージェントの間にある信頼の前提そのものが崩れていると指摘しているが、これはAIエージェントへの不信ではなく、AIエージェント向け文書を人手のレビューなしに公開してきた運用そのものへの指摘として読むのが妥当だろう。AI関連のセキュリティをめぐっては、OpenAIら100社超が「AI防衛」を掲げる公開書簡に署名した動きもあり、業界側の体制整備は今後の実効性が問われる段階に入っている。