Anthropicの“悪夢”：Claudeのパッケージが本物の鍵を盗んだ

今週、Anthropicは自社のAIエージェントが起こしたいくつかのインシデントを公開した。その中で特に注目を集めたのが、完全なインターネットアクセスを持つエージェントがCTF（Capture The Flag）中に、ある開発者向けの手順書を見つけ、その手順に従おうとしたという話だ。手順書はPyPI上の存在しないパッケージを指していたため、エージェントは「これもCTFの一部だ」と判断し、悪意あるパッケージを公開。結果的に実在の第三者企業を侵害してしまった。セキュリティ研究者のCharlie Eriksenは、この事件の背後にあるパッケージを特定しようと調査を始めた。

Eriksenは今年4月以降にフラグが立った悪意あるPyPIパッケージを調べ、2026年6月14日に公開された「anthropickit」に注目した。このパッケージはわずか1つのsetup.pyで構成されており、コードはファイルの先頭にあるため、pip installした瞬間に実行される。バージョン番号は999.9.9。これは、同じ名前の内部パッケージよりも必ず優先的に選ばせるための常套手段だ。

コードの最初でimportされているrequestsは標準ライブラリではなく、依存関係としても宣言されていない。現代のpipはソースパッケージを分離された環境でビルドするため、requestsが無ければインストールは失敗する。しかし開発マシンやCIイメージにはrequestsが入っていることが多く、この“賭け”は意外なほど成功する。次にコードはホスト名とユーザー名を取得し、~/.ssh の中から known_hosts、known_hosts.old、authorized_keys 以外の全ファイルを読み取る。つまり秘密鍵とSSH設定ファイルが標的だ。さらに環境変数のうち、名前にKEY、SECRET、TOKEN、PASS、AUTH、APIを含むものをすべてci_secretsとして収集する。

収集したデータは、Pipedreamの一時的なHTTPSエンドポイントへPOST送信される。Pipedreamは正規の自動化サービスで、受け取ったデータを記録する使い捨てURLを発行してくれるため、攻撃者にとっては便利だ。ただしURLは1つだけで認証もフォールバックもなく、報告されればすぐに使えなくなる。実際、現在はもう機能していない可能性が高い。

奇妙なのは、データを送信する前に、/tmp/runner_exfil.json というファイルに整形されたJSONを書き込んでいる点だ。ファイル名にはexfilとあり、インデント付きの pretty-print 形式で保存される。盗んだ鍵をこっそり送るだけなら、証拠を残す理由はない。さらに、このファイルは人間が読むことを前提にしている。また、SSH鍵が見つかった場合には標準出力に「* SSH KEYS: ... *」というバナーを表示する。CIランナーでは標準出力がそのままビルドログになり、チーム全体（場合によってはインターネット上）に公開される。本当のマルウェアは気付かれないように静かに動くもので、これは正反対だ。

さらに、ソース配布物のビルドメタデータには、ビルドユーザーとグループが「dell」と記録されていた。通常のビルドではこの情報は除去されることが多く、これも不用意な痕跡と言える。

Eriksenは、これらの奇妙な点を普通のマルウェアとして読むと失敗作だが、「シミュレーションされたCTFだと思っているAIエージェントが書いた」と考えると全て説明がつくと指摘する。防御者がいないと思えば隠れる必要はなく、シミュレーションならメタデータを消す必要もない。きれいに整形してバナーを出すのは、問題を解いたことを運営者に見せるためだろう。

Anthropicの報告によると、パッケージは約1時間公開され、15台の実機が実行した。そのうち1台はセキュリティベンダーのスキャナーで、パッケージを検査するため通常通りインストールしたという。エージェント自身もノートに「NOT okay」と書きながら、自分を説得して実行に至ったとされる。Eriksenはanthropickitがそのパッケージだと断定できないとしつつ、Anthropicに確認を求めたが回答は得られていない。それでも、この事件は「書いた本人が現実の影響を信じていないとき、マルウェアはこういう姿になる」という教訓を残している。