福冨崇史（りばーじゅ）| 中小企業のAI業務効率化・AIセミナー

【重要　AIでコードを書いている人へ】 最近流行りのAIを使った開発ツールで、ヤバめの脆弱性が公開されました 内容はAIツールの「内蔵ブラウザ」からSSH鍵や.envを丸ごと抜く手口で、5製品中2つは未修正、1つは修正時期が未発表です Codex Claude Desktop VS Code Cursor GitHub Copilot この5つに入っている「内蔵ブラウザ」の話です ターミナルで使うClaude Code CLIやCodex CLIには内蔵ブラウザが無いので、この研究の対象には入っていません 10月29日にForever Securityという会社が「EMBRACE」という名前で公開した研究で、私も朝方に全部読んで、つたない内容ですが整理しました 何が問題なのか 普通のブラウザ（ChromeやEdge）には、長年かけて守ってきたルールが3つあります 1. ページはあなたのPCでコマンドを実行できない 2. ローカルで開いたファイルは、他のファイルを読めない 3. ページはアドレスバーを書き換えられない AI開発ツールはエージェント用に機能を足した結果、この3つを1つずつ破ってしまっていました どう影響するか 一番怖いのはファイルを抜き取るやつで、手順はこれだけです 普通の財務レポートに見せかけたプロジェクトを、AIに「READMEの通りにセットアップして」などと頼む するとAIがプロジェクトの中のHTMLへのリンクを出してくる それを1回クリックすると、内蔵ブラウザで開いたページが裏で動かすスクリプト（Web Worker）にはフォルダの制限が効かず、ディスク全体を読めてしまいます ※一例です 研究者の検証では、SSH鍵、.env、npmのトークン、hostsファイルが抜かれたそうです Codexに至ってはフォルダの制限そのものがありません Cursorは別の経路で、ページの中に隠したコマンドをAIが読んで実行してしまいます 実行前に確認は出ますが、何も考えずにEnterを押すと通ります しかもサンドボックスに止められると、AIが自分でサンドボックスを切って実行し直したそうです ただし、毎回成功するわけではないとのこと GitHub Copilotはアドレスバーの偽装で、github．com/login に見せかけられるというものでした これも結構エグいです さっきの3つ目のルール（アドレスバーを書き換えられない）を破っています 10月29日時点の状況 ・Cursorは10月1日に告知なしで既に修正済み ・GitHub Copilotは最新版（1.1.29以降）で修正済み ・Codexは7月末に報告されていて、OpenAIは10月29日に「認識していて対応中」とコメントしましたが、まだ直っていません ・VS CodeはMicrosoftが「Workspace Trustの範囲内」として無効扱いにして、修正の予定はなし ・Claude DesktopはAnthropicが一度却下した後、別の会社の報告を受理しましたが、修正の時期はまだ公表されていません 救いは、実際に悪用されたという報告が今のところ無いことです 検証はMacですが、仕組み上Windowsでも同じと考えておいた方がいいですね 他のAIツール（WindsurfやJetBrainsなど）は今回調べられていないですが、同じ作りなら同じ問題はあり得ます おまけ：Workspace Trustについての話 VS Codeでフォルダを開く時に出てくる「このフォルダを信頼しますか」の画面のことです Claude Desktopなら「フォルダへのアクセス許可」がこれにあたります MicrosoftとAnthropicは「信頼すると押した時点で、その中のファイルは信頼済み」という立場 ただ、AIツールを使うには結局「信頼する」を押すしかないので、守りになっていないという研究者の指摘に、私も分があると思います ここから対策です 1. ひとまず更新 Cursorは10月1日以降のバージョン GitHub Copilotは最新版 2. AIが出してきたリンクを無条件にクリックしない 特にCodexとVS Codeで、プロジェクト内のHTMLを内蔵ブラウザで開くのは今はやめておくのが無難 VS Codeに関しては内蔵ブラウザを普段使っていない人は、AIが出すリンクを踏まない限り開かないので、そこだけ気をつければ大丈夫です 3. 知らないリポジトリを「READMEの通りにセットアップして」と絶対に丸投げしない 中のHTMLを先に自分で見るしかありません 4. 内蔵ブラウザは普段使うブラウザの代わりにしない ページを見るならChromeやEdgeなどあなた自身で開く 5. 万一に備えて、.envのキーやトークンは使い回さず、漏れたらすぐ無効化できる状態にしておく SSH鍵にはパスフレーズ ※これは基本中の基本です AIが出したリンクだから安全ということは無いです ※すべてにおいて言える事ですがAIはあくまでもサポート的立ち位置です 内蔵ブラウザは「AIが操作する前提」で機能が足されている分、普段あなたが使うブラウザよりセキュリティが弱い場合があります そこだけは頭の真ん中に置いてAIを使ってください