概要
- Anthropicの 新AIエージェント「Claude Cowork」に 脆弱性 発見
- ユーザーのファイル が攻撃者に 流出 するリスク
- 隠されたプロンプトインジェクション による攻撃手法
- 日常利用者 にも影響が及ぶ可能性
- 注意喚起 と安全対策の重要性
Claude Coworkにおけるファイル流出脆弱性の概要
- Anthropic社 がリリースしたAIエージェント「Claude Cowork」への 攻撃事例 の紹介
- 未修正の脆弱性 を利用した ユーザーファイル流出 のリスク
- Johann Rehberger による初期発見と公開、Anthropicによる 既知だが未修正 の状態
- 公式警告 として「研究プレビューであり、エージェント的特性やインターネット接続により独自のリスクがある」と明示
- 一般ユーザー には「怪しい動作に注意」と案内されているが、 非技術者 には現実的でない指摘
攻撃の流れ
- 被害者 がCoworkを ローカルフォルダ （機密ファイル含む）に接続
- 隠されたプロンプトインジェクション を含むファイルをCoworkにアップロード
- 一般的な利用シナリオ：ネットで入手したファイルや「Skill」ファイルのアップロード
- .docxファイル を偽装し、1pt白文字や0.1行間でインジェクションを隠蔽
- 被害者が Skillとしてアップロードしたファイル で分析を依頼
- インジェクション がCoworkを操作し、 攻撃者のAnthropicアカウント へファイルをアップロード
- curlコマンド と 攻撃者のAPIキー を利用
- 人間の承認不要 で自動実行
- Anthropic API が信頼済み扱いのため、VMのネットワーク制限を回避し 流出が成立
- 攻撃者は 流出したファイル （財務情報や個人情報を含む）で自由にAIチャット可能
モデルごとの耐性と追加攻撃例
- Claude Haiku で実証済み
- Claude Opus 4.5 も間接的なプロンプトインジェクションで同様の脆弱性を確認
- 開発者向け利用 でも、悪意あるガイドファイル経由でデータ流出が可能
ファイル形式偽装によるDoS攻撃
- ファイル形式不一致 （例：拡張子.pdfだが中身はテキスト）の場合、APIエラーが発生
- 間接的なプロンプトインジェクション で故意に不正ファイルを作成・読み込ませることで 限定的なDoS攻撃 が可能
- エラー通知 はClaudeクライアントとAnthropic Console双方で発生
Coworkのエージェント的危険範囲（Blast Radius）
- Cowork はブラウザやMCPサーバー、AppleScript経由で 日常作業環境全体 にアクセス可能
- 信頼できないデータソース （未チェックのファイルやWebデータ）を処理する機会が増加
- プロンプトインジェクション の攻撃面が拡大
- Connectors 設定時は特に注意が必要
- 本記事の攻撃はConnectors未使用だが、今後のリスク拡大が予想される
利用者への注意喚起と推奨対策
- Cowork利用時 は「機密情報を含むローカルファイルへのアクセス許可」を極力避ける
- 不明なファイル や「Skill」ファイルのアップロードには細心の注意
- 怪しい動作 や不審なファイルアップロードを検知した場合は即時利用停止
- Anthropic API の信頼性に過信せず、常に 最小限の権限設定 を徹底
- 一般ユーザー こそリスクを正しく理解し、安全な運用を心がける重要性