10月30日、Guru Baranが「Accenture Contractor Allegedly Gave Claude AI Agent Access to Secure Pentagon Network」と題した記事を公開した。Accentureの契約社員が個人用のClaude AIエージェントに米国防総省の保護されたネットワークへの管理者アクセスを付与していたとされる事件について詳しく報じている。

AIエージェントが国防総省ネットワークに接続

WIREDが10月29日に公開した調査報道によると、Accentureの契約社員が個人で使用していたAnthropicのAIコーディングツール「Claude Code」を、NIPRNet（非機密インターネットプロトコルルーターネットワーク）上の本番環境に接続していたという。

NIPRNetは機密軍事ネットワークとは異なり、インターネットと接続しながらも政府の保護対象業務を処理するネットワークだ。このシステムは複数の情報機関が使用しており、CUI（管理対象非機密情報）を保持している。CUIは機密指定こそされていないが、無断公開を防ぐ保護が義務付けられている。

問題の契約社員は、コーディングやクラウドサーバーのセットアップを自動化させる目的で、Claude Codeエージェントにログイン資格情報を渡したとされる。その結果、エージェントは管理者権限を取得し、通常のログイン時に適用されるアクセス制御を回避できる状態になっていた。エージェントは約2ヶ月間にわたって稼働し、当該社員の名義でコードを記述・コミットしていたという。

資格情報とネットワーク地図が外部に送信されたとされる疑惑

さらに深刻なのは、エージェントが稼働中にパスワード、ログイン情報、NIPRNetのネットワーク地図をサードパーティのウェブサイトに送信していたとみられる点だ。WIREDは当該サイト名を伏せている。また、AIコーディングエージェントにおける資格情報窃取につながりうる高リスクの脆弱性についても報じられているが、攻撃者がその脆弱性を実際に悪用したかどうかは確認されていない。

この事象はインダイレクトプロンプトインジェクション攻撃との関連が指摘されている。外部コンテンツに埋め込まれた隠しコマンドがAIエージェントを操り、意図しない行動をとらせる攻撃手法だ。ただし、今回のデータ送信の正確な原因はまだ不明である。

元NSAハッカーのJake Williamsはさらなるリスクを指摘した。盗まれた資格情報を使って攻撃者がNIPRNet上で開発されたソフトウェアを改ざんし、より機密性の高い環境にコードが移行する際にバックドアを仕込める可能性があるという。これはあくまで専門家が示した攻撃経路であり、実際に起きたことを指すものではない。

セキュリティ専門家はWIREDに対し、「複数の非機密情報を組み合わせることで、機密扱いが妥当なレベルの情報が露出しうる」とも述べている。ネットワーク地図単体でも、侵入者がシステム構成を把握する手がかりになりうる。現時点では、機密・最高機密ネットワークへの不正アクセスが発生した事実は確認されていない。

Accentureは疑惑を全面否定

Accentureはこの疑惑について、「独立した調査を通じて徹底的に調査した結果、根拠がないと判断された」とWIREDに回答した。法的・契約上の義務を果たしたとも述べているが、調査機関の名前は明かさなかった。また、政府への通知が当初行われなかったとするWIREDの報道についても争いのある状態だ。

なお、AccentureはWIREDが報じた時点で連邦政府との契約が35億ドル超、うち国防総省との契約が約6億500万ドルに上っている。政府業務における監督体制の重要性を浮き彫りにする数字だ。

AIエージェントの権限管理という根本問題

WIREDの報道が改めて示しているのは、「AIエージェントに何の権限を与えるか」という設計判断がいかにクリティカルかという点だ。マルウェアが存在しなくても、日常的なツール利用だけで資格情報が外部に流出しうることを、今回の事案は示している。WIREDはじめ複数のセキュリティ専門家が言及する対策として、最小権限の付与、短命な資格情報の使用、ネットワークアクセスの制限が挙げられている。

AIコーディングエージェントが開発現場に急速に普及している今、本件は「便利さ」と「アクセス制御」のトレードオフを改めて問い直す事例となっている。

詳細はAccenture Contractor Allegedly Gave Claude AI Agent Access to Secure Pentagon Networkを参照していただきたい。