Claude Codeがアシスタント操作中に大量の機密情報をGitHubに意図せず漏洩と判明

Ars TechnicaのライターKyle Orlandは、開発者コミュニティに不安を与えるセキュリティインシデントを報じた。Anthropicが提供するAIコーディングツール「Claude Code」が、パスワード・APIキー・アクセストークンといった大量の機密情報をGitHub上に意図せず漏洩していたというものだ。問題の根本原因は複雑な脆弱性の悪用ではなく、一見無害に見えるUI設計上の仕組み——「Do not ask again（以降は確認しない）」プロンプト——にあった。

一つのダイアログが引き起こした情報漏洩

Ars Technicaの報道によると、Claude Codeは動作中にファイルへのアクセス、コマンドの実行、環境変数の読み取りを要求する。ユーザーの確認が必要な操作を検知すると権限リクエストが表示される仕組みだ。連続した作業を効率化するため、UIには「Do not ask again」オプションが用意されている。問題はここにある。ユーザーがこのオプションを選択すると、Claude Codeは同種の操作について以降の確認を省略し、機密情報を含むファイルの内容をコンテキストに直接取り込み、後続のコード生成やコミット処理の中でGitHubリポジトリへ書き出してしまうのだ。

"Do not ask again" prompt leads to passwords, API keys, and more being shared.

報道によれば、影響を受けたリポジトリにはデータベース接続文字列、クラウドサービスのアクセスキー、OAuthトークンなど、本来公開されるべきでない情報が含まれていた。漏洩した情報の一部は、発見されるまで公開リポジトリに数時間から数日間にわたって残存しており、誰でもアクセスできる状態だった。GitHubの公開リポジトリ検索やサードパーティの監視ツールにより、一度プッシュされた秘密情報は事実上完全な取り消しが不可能になる。

なぜAIコーディングアシスタントは「事故」を起こしやすいのか

従来の開発フローでは、開発者はGitのコミット内容を明確に意識して確認し、通常は.gitignoreで機密ファイルを除外するか、シークレット管理ツールを利用していた。しかしAIコーディングアシスタントの登場により、この慣習が変わりつつある。Claude Codeなどのツールは「自律エージェント」として動作し、プロジェクトファイルの読み取り、コードの生成、Gitコマンドの実行が可能だ。ユーザーが効率を優先して「以降は確認しない」を選択した瞬間、セキュリティ審査の権限の一部をAIに委ねたことになる。

さらに深刻な問題はコンテキストの境界にある。AIモデルはコード生成時に環境変数・設定ファイル・ローカルのキーストアを読み取る必要があり、これらの内容が一度モデルのコンテキストに入ると、後続の出力で再現される可能性がある。モデルが「プロジェクトを動かすため」に設定をコードへ書き込む必要があると判断した場合、機密情報がそのままバージョン履歴に入り込んでしまう。セキュリティ専門家は、これはClaude Code固有の欠陥ではなく、ファイルシステムとコマンド実行の権限を持つすべてのAIエージェント型ツールが直面する共通の課題だと指摘している。

業界の背景：AIエージェントの権限管理という難問

2025年以降、AIコーディングアシスタントは「コード補完」から「自律エージェント」へと急速に進化し、Cursor・GitHub Copilot・Claude Codeなどのツールがプロジェクトの読み取り、テストの実行、コードのコミットといった権限を次々と獲得している。生産性は向上する一方で、権限モデルの整備は相対的に遅れている。多くのツールが採用する「初回は確認、以降は信頼」というインタラクションモデルは、最小権限の原則と本質的な緊張関係にある。

今回の事例は孤立した出来事ではない。これまでにも研究チームがプロンプトインジェクションによってAIエージェントから環境変数を引き出す手法を実証しており、Copilotがローカル設定をコミット履歴に書き込んだ事例をSNSで報告した開発者もいる。ただし、Claude Codeのケースが特異なのは、漏洩が攻撃者による巧妙な手口によるものではなく、通常の使用フローの中に潜む設計上の欠陥によるものである点だ。これはリスクの範囲がより広く、一般の開発者が気づかないうちに被害者になり得ることを意味する。

Anthropicの対応と開発者による自衛策

報道時点では、Anthropicは完全な事故説明を発表していない。Ars TechnicaがAnthropicに連絡を取ったが、即座のコメントは得られなかった。コミュニティでは、Claude Codeにコミット前の機密情報スキャン機能の追加、「以降は確認しない」の適用範囲の制限、疑わしいキーを検知した際の強制的な二重確認を求める声が上がっている。

すでにClaude Codeを使用している開発者向けのセキュリティ推奨事項としては、直近のコミット履歴を速やかに確認すること、git secretsまたはGitHub Secret Scanningを使って漏洩を調査すること、露出した可能性のあるすべてのキーをローテーションすること、高エントロピー文字列を含むコミットをブロックするプレコミットフックをプロジェクトレベルで設定すること、特に環境変数や設定ファイルが関わる場面では「以降は確認しない」オプションを慎重に使用することが挙げられる。

自動化ツールが強力になればなるほど、権限の境界はより慎重に定義される必要がある。効率とセキュリティのバランスを、一つのチェックボックスに委ねてはならない。

編集後記

Claude Codeを巡る今回の事件は、AIコーディングツール業界全体への警鐘となった。AIエージェントにより多くの自律性が与えられるにつれ、製品設計における「利便性」に関わるあらゆる判断が、セキュリティチェーンの弱点になり得る。「以降は確認しない」という選択肢の背後には、二つの信頼の前提がある——ユーザーが自分が何を許可しているかを理解しているという前提と、AIがどの情報が機密かを正しく判断できるという前提だ。しかし現実には、どちらの前提も信頼できない。開発者にとって今回の事件は、AIがもたらす生産性の恩恵を享受しながらも、重要な操作に対する最終的な審査権を手放してはならないことを改めて示している。ツール開発者にとっては、セキュリティは後付けのパッチであってはならず、インタラクション設計のあらゆる細部に組み込まれるべきものだというメッセージだ。

本記事はArs Technicaを基に編集・構成したものです。