Claude Code脆弱性でRCE発生──AI開発ツールの新リスクリポジトリを開くだけで企業全体が危険に──設定ファイルが攻撃経路に

AIコーディングツールに複数の重大脆弱性が発覚

AnthropicのAIコーディングツール「Claude Code」に、リポジトリをcloneするだけでリモートコード実行やAPIキー窃取が可能になる複数の重大脆弱性が発見されました。The Hacker Newsの報道によると、セキュリティ企業Check Point Researchが2月25日にこの脆弱性を公開しています。Anthropicと協力して修正は完了していますが、AI開発ツールを利用する企業にとって見逃せない警鐘となっています。

発見された3つの脆弱性の詳細

今回発見された脆弱性は、いずれもAI開発ツール特有のリスクを浮き彫りにするものです。

1つ目はCVE-2025-59536（CVSS 8.7）で、Hooks機能を悪用した設定ファイル経由のコード注入です。.claude/settings.jsonに定義された「untrusted project hooks」により、Claude Codeを新しいディレクトリで起動するだけで、ユーザーの確認なしに任意のシェルコマンドが実行可能になっていました。この脆弱性は2025年10月にv1.0.111で修正されています。

2つ目はMCP（Model Context Protocol）サーバー統合におけるコンセント回避の問題です。リポジトリ側で制御される設定がユーザー承認プロンプトを上書きし、外部ツール実行の制御がユーザーから設定ファイルに移転してしまう状態でした。

3つ目はCVE-2026-21852（CVSS 5.3）で、ANTHROPIC_BASE_URLを攻撃者のエンドポイントにリダイレクトすることで、信頼確認前にAPIキーを含む認証ヘッダーが外部に送信される脆弱性です。この問題は2026年1月にv2.0.65で修正されています。

設定ファイルが「能動的実行レイヤー」に変質するリスク

今回の脆弱性が示す最も重要な教訓は、従来「受動的なメタデータ」として扱われてきた設定ファイルが、AIツールにおいては「能動的な実行レイヤー」として機能しうるという点です。

従来のソフトウェア開発では、設定ファイルは単にアプリケーションの動作パラメータを定義するものでした。しかしAIコーディングツールでは、設定ファイルがツールの振る舞いそのものを規定し、外部コマンドの実行トリガーにもなり得ます。これは、リポジトリをcloneするという日常的な開発作業が、そのまま攻撃の入り口になることを意味します。

特にAnthropicのWorkspaces環境では、1つのAPIキーがチーム全体のプロジェクトファイルにアクセスできる設計になっています。そのため、1人の開発者のマシンが侵害されると、その影響がチーム全体、ひいては企業全体に波及するリスクがあります。

連鎖的に発見されるAI開発ツールの脆弱性

今回のClaude Code脆弱性は、単独の事象ではありません。2月22日にはFortiGateへの攻撃でClaude Codeの自律実行モードが悪用されたことが報告されています。また2月24日にはGitHub Copilotのイシュー注入脆弱性、2月21日にはMicrosoftのSemantic KernelにおけるRCE脆弱性、2月17日にはOpenClawへのサプライチェーン攻撃と、AI開発ツールの脆弱性が連鎖的に発見されている状況です。

AI開発ツールのセキュリティは、攻撃側・防御側の双方にとって最重要課題になりつつあります。便利なAIツールを導入する際には、そのセキュリティリスクも同時に評価する必要があります。

自社で今すぐ確認すべきこと

この脆弱性を受けて、AI開発ツールを利用している企業は以下の対応を検討してください。

まず、Claude Codeをご利用の場合はv2.0.65以上への即時アップデートが必要です。次に、信頼できないソースからのリポジトリをcloneする前のセキュリティ確認プロセスを確立してください。また、.claude/ディレクトリ内の設定ファイルをレビューする手順を策定し、不審な設定がないか定期的に確認する体制を整えましょう。

さらに、Claude Codeに限らず、GitHub Copilot、Cursor、その他のAIコーディングツール全般について、サプライチェーンリスクを再評価することをお勧めします。開発チーム向けのセキュリティ教育として、「リポジトリを開くだけで攻撃が成立しうる」という新しいリスクモデルを周知することも重要です。

まとめ

AIコーディングツールの脆弱性は、開発効率の向上と引き換えに新たな攻撃面を生み出しています。設定ファイルが実行レイヤーとして機能するリスクを認識し、ツールのアップデートと利用ポリシーの見直しを進めてください。

AI開発ツールのセキュリティ対策やサプライチェーンリスク評価でお困りの際は、180社以上の支援実績を持つGXOにご相談ください。

お問い合わせはこちら