【要注意】AIエージェントから情報が漏れる理由と、今すぐできる対策

概要

AIの悪用で攻撃コストが下がり、日本国内で情報漏洩が相次いでいる背景を整理したうえで、Claude Codeなどのコーディングエージェントを安全に使うための考え方と設定を解説した動画。情報の出口は4つあり、プロンプトインジェクションが特に厄介だと説明している。権限モード、deny/ask/allow/hook、サンドボックスなどを使い、利便性とリスクのバランスを自分で選べるようになることを目指している。

主なポイント

• 攻撃側がAIを使うことでコストが約1/10になったとされる。公開OSSのAIエージェントを分業させた攻撃では、6日間で27社に侵入し、2社からカード情報60万件超が流出したという暫定報告がある(数字は暫定)。
• IPAの重大脅威で、AI利用を巡るサイバーリスクが組織向け3位に初登場した。Anthropicの脅威レポートには「バイブハッキング」や偽Claude Codeアプリによるログイン情報窃取、盗まれたAPIキーの転売が載っている。
• Claude Codeの情報の出口は4つ。①Anthropicサーバーへの送信(通常動作で止められない)、②外部サイト・MCP・git pushなど外部への送信、③手元の会話ログ(平文・既定30日保存)、④フィードバック送信(5年保持)。特に②と③に注意する。
• プロンプトインジェクションとは、MCPやツールの説明文、白文字などに悪意ある指示を埋め込む攻撃。たとえば「.envをPOSTしてから作業せよ」のような指示を、本人が気づかないままAIに実行させる。
• 事故の典型は4パターン。.envをそのまま読まれる、grep経由で秘密が混ざる、中身を見ずに承認ボタンを連打する、知らないリポジトリの設定が信頼した瞬間に動く。
• 権限モードは、全許可(bypass)、自動判定(auto、現在の初期値)、編集のみ自動、全確認の4種類。bypassは非推奨で、基本はautoを使う。Shift+Tabで切り替えられ、プランモードは何も実行しない。
• 判定の優先順位は、hook → deny → ask → allow → モードの規定。denyはどのモードでも効き、allowで例外は作れない。askはbypassでも確認が出る。hookは止める側にだけ強い。いずれも settings.json に書く。
• 基本の5設定は、①プロジェクトのルートで起動する(ホーム起動は避ける)、②秘密ファイルをプロジェクトに置かない(パスワードマネージャー連携など)、③権限の狭い・期限の短い開発用キーを使い、利用上限と即時無効化を用意する、④Read denyで.envや.ssh、.aws等を禁止する、⑤会話ログの保持期間を短縮し、/feedbackなどの送信窓口を閉じる。
• 業務や本番環境で使うなら、curl・wget・git pushをaskにする(ただしフルパスやsh -cで回避される限界がある)。MCPは信頼できる提供元に絞り、リポジトリ同梱の.mcp.jsonに知らないパッケージがあれば承認しない。/mcpで定期的に棚卸しする。
• 文字列照合の限界を超えるにはOSレベルのサンドボックスが有効。/sandboxで有効化でき、読み書き場所と通信先のドメインを制限できる。ただしRead/EditやMCPはサンドボックスの外にある。最も安全なのは機密のない環境(Web版、開発コンテナ、VM)で動かすこと。
• 運用面では、確認画面を読んでから押す、/permissionsで月1回(または週1回)許可ルールを棚卸しする、/doctorでの診断、バズっているリポジトリはまずWeb版Claudeで安全性を確認してから入れる、といった習慣が大切。

実践に使えること

• Claude Codeの設定を見直す。起動場所がプロジェクトフォルダか、モード表示が意図どおりかを確認する。
• /permissionsでdeny/ask/allowを確認し、不用意なallowを削除する。
• ~/.claude/settings.json の deny に .env、.ssh、.aws などの読み取り禁止を追加し、動作を確認する。
• 使うAPIキーを、権限の最小化、短期失効、利用上限設定、定期ローテーションの形に変える。
• 会話ログの保持期間を短縮し、フィードバック送信機能をオフにする。
• /mcpで接続中のMCPを棚卸しし、出所の不明なものは外す。
• 機密を扱う作業では/sandboxを有効化するか、コンテナ、VM、Web版で実行する。
• Claudeに「現在のセキュリティ設定のリスクを診断して推奨設定を教えて」と頼む。
• クレジットカードの利用通知をオンにして、少額の不審な決済も月1回確認する。