8月30日、Sead Fadilpašićが「Top AI tools including Claude, Codex, and Hermes installed suspicious code inside corporate networks」と題した記事を公開した。Fortune 500企業がマルウェア入りパッケージのpingを送信し始めるまで、要した時間はわずか1時間以内だった。AIエージェントが「ドキュメントを読む」という行為そのものが攻撃ベクターになり得ることを実証した研究の詳細を紹介する。

llms.txtという新しい攻撃面

近年、多くのWebサイトがllms.txtおよびllms-full.txtという規約ファイルを設置するようになっている。これはAnswer.AIのJeremy Howardが2024年に提唱した仕様で、AIエージェントがWebサイトのコンテンツや利用ルールを適切に読み取るための仕組みだ（llms-txt公式サイト）。robots.txtのAI版とも言える位置づけで、すでに数千のサイトが採用しており、AIエージェントがソフトウェアのインストールやプロジェクトへのコード追加を行う際、これらのファイルを参照して適切な手順を見つける。

今回の調査を実施したのは、サイバーセキュリティ企業Lasso Securityの研究チームだ。研究者たちは、防衛関連企業・Fortune 500企業・大手テック企業が保有する6,214のライブドメインを分析した。そこには8,265件の.txtファイルが存在し、そのうち120件（それぞれ別サイト）が、実際には登録されていないコードパッケージやドメイン名を参照していた。Lasso Securityによるレポートの詳細は同社ブログで公開されている。

「実験」で実証された脅威の現実

未登録のパッケージが存在する理由はさまざまだ。人為的ミス、パッケージ名の変更や廃止、コピー＆ペーストのミス、あるいはAIが生成したハルシネーション（AIモデルが存在しない情報を事実のように生成してしまう現象）によるドキュメントの誤記などが考えられる。

この「存在しないパッケージ名を意図的に踏ませる」手口は、セキュリティ分野では以前から知られている攻撃手法と構造的に近い。npmやPyPIなどの公開レジストリに悪意あるパッケージを公開して内部パッケージ名と衝突させるDependency Confusion攻撃や、タイポをついて悪意あるパッケージをインストールさせるTyposquatting（SloppySlopsquatting）と共通する「名前の乗っ取り」という発想だ。今回の手法はこれをAIエージェントのドキュメント参照という新たな経路に応用したものと言える。

Lasso Securityの研究者たちは、発見した未登録名の一部を実際に登録し、インストールされた際に外部にpingを送信するパッケージを用意した。結果は衝撃的だった。Fortune 500企業が1時間以内にpingを送信し始め、その後「数十社」に膨れ上がった。

この実験が示すのは、研究者にできることはサイバー犯罪者にもできるという単純な事実だ。攻撃者がこれらの未登録パッケージ名にマルウェアを仕込み、AIエージェントがシェルコマンドやパッケージマネージャーの実行権限を持っていれば、ドキュメントを読んだだけで端末が感染する。

Claude、Codex、Hermesが「加担」

研究者は、AnthropicのClaude、OpenAIのCodex、Nous ResearchのHermesがいずれもこの問題に「関与していた」と指摘する。これらのAIツールはドキュメントを実行可能な指示として扱い、未登録パッケージへの参照をそのまま実行してしまった。

なお、ここで言う「Codex」はOpenAIが提供するコーディングエージェント環境（OpenAI Codex）を指す。旧来のコード補完特化モデル「code-davinci-002」（2023年にAPIが廃止）とは別物であり、読者は混同しないよう注意されたい。

具体的な実行フローとしては、AIエージェントがllms.txtを参照して「このライブラリをインストールせよ」という記述を発見し、その指示に従ってpip installやnpm installなどのコマンドを自律的に発行するという流れだ。エージェントが自律的にコマンドを実行できる環境では、ユーザーの確認を経ずにパッケージが取得・実行されるため、感染が静かに進行する点が特に危険だ。

対策と現実的な課題

研究者が示す対策は2つだ。

• 企業側：llms.txtなどのドキュメントを精査し、存在しないパッケージやドメインへの参照を削除する
• AIエージェント側：ドキュメントを「実行可能な指示」として扱わないよう設計を変更する

ただし後者の対応はすぐには期待できない。現実的な当面の対策として、AIエージェントにシェルコマンドやパッケージマネージャーの実行権限を付与する際のリスクを組織として認識し、権限の範囲を厳格に管理することが求められる。最小権限の原則（Principle of Least Privilege）をエージェント設計に適用することが、現時点での最も現実的な防衛ラインだ。

AIエージェントが自律的にコードを書き、パッケージをインストールする時代において、ドキュメント自体が攻撃ベクターになるというこの問題は、アジェンティックAIのセキュリティ設計における根本的な課題を浮き彫りにしている。

詳細はTop AI tools including Claude, Codex, and Hermes installed suspicious code inside corporate networksを参照していただきたい。