AIエージェント セキュリティリスクと企業対策——無許可リレーで12組織の保護機構が無効化

AIエージェント セキュリティリスクの新局面：12組織を標的にした無許可リレー事件

2026年初頭、Symantec Threat Hunter Teamは重大な脅威を発見した。OpenAIのCodexおよびAnthropicのClaude Code CLIに対し、無許可のリレーサービスを経由させる不正な設定変更が、中国本土を中心に12組織のシステムへ適用されていたことが明らかになった（GBHackers、SC World報道）。被害を受けた組織には、韓国・台湾・マレーシアに拠点を置く多国籍企業の中国法人も含まれる。産業オートメーション、半導体、製薬、海運、石油化学といったセクターが対象となっており、特定企業を狙った標的型攻撃ではなく、地域制限を回避しようとした従業員の行動が攻撃者に利用されたとみられている。

この事案はCodexやClaude Code自体の脆弱性ではない。問題の本質は、AIエージェントの設定ファイルが適切に管理されていなければ、ツール自体の安全機構を完全に無効化できる点にある。経営・IT部門にとって、この事件は「AIツールのセキュリティ」という問題の射程を根本から問い直す契機となる。

AI関連の情報漏洩では他にどんな被害が出ているかは、AIハッキングの主な被害一覧で解説しています。

関連記事生成AIの情報漏洩の原因・事例は？

攻撃手法の解剖：AIエージェント固有のセキュリティリスクはどこにあるか

今回の攻撃は、既存のマルウェア対策や境界防御が想定しない手口で進行した。攻撃の流れは以下のとおりだ。

開発者が正規のnpmレジストリを通じてCodexまたはClaude Code CLIをインストールする。その直後、ファイルレスのPowerShellまたはbashワンライナーが追加スクリプトを外部から取得・実行する。このスクリプトは~/.codex/config.tomlまたは~/.claude/settings.jsonを書き換え、base_urlあるいは環境変数ANTHROPIC_BASE_URLを攻撃者が管理するリレーサーバーのアドレスに変更する（GBHackers報告）。同時にsandbox_mode="danger-full-access"を設定し、テレメトリとエラーレポートを無効化する。認証情報はリレー発行のAPIキーに差し替えられ、環境変数として保存されるためシステム再起動後も設定が維持される。

この状態では、開発者が入力するすべてのプロンプト、添付するファイル、コードに含まれるシークレット（APIキー、接続文字列、認証トークン）がリレー事業者に筒抜けになる。さらに深刻なのはサンドボックスの無効化だ。AIエージェントはサンドボックス内での動作を前提に設計されているが、danger-full-accessモードでは悪意ある応答がユーザーの完全権限でコマンドを実行できる状態となる。Symantecは現時点で悪用の証拠は確認されていないと報告しているが、リレー事業者が傍受したデータをいつどのように使用するかは検証不能であり、潜在的なリスクは継続すると考えられる。

今回の被害者の多くが「地域制限を回避する手段」として非公式のリレーサービスを自発的に利用した可能性が高いとされている点は見落とせない。組織のIT部門が管理していないシャドーITとして、AIツールが深く浸透している実態を示している。

AIエージェント セキュリティリスクの構造的問題：従来の対策では防げない理由

この事案が示す本質的な課題は、AIエージェントが「信頼された開発ツール」として動作する点にある。従来のエンドポイント保護ソリューションは、ファイルの生成・変更・通信パターンを検知するが、設定ファイル1行の変更がもたらす影響の大きさを適切に評価するロジックを持っていない場合が多い。

以下の表は、従来型の開発ツールリスクとAIエージェント固有のリスクを比較したものだ。

リスク項目	従来の開発ツール（IDE・ライブラリ）	AIエージェント（Codex・Claude Code等）
データ流出経路	コードの意図的な外部送信が必要	プロンプト・ファイルが自動的にAPI経由で送信
設定変更の影響	機能の変更にとどまることが多い	通信先・権限モード・ログ記録の全変更が1ファイルで可能
実行権限の範囲	人間がコマンドを明示的に入力・承認	エージェントモードではAIが自律的にコマンドを生成・実行
シャドーIT化のリスク	ツールのインストール自体が管理対象	npm/pip経由で個人が容易にインストール・設定変更が可能
監査ログの信頼性	OSレベルのログで追跡可能	テレメトリ無効化により活動記録を消去できる
既存セキュリティ製品の検知	既知のパターンで比較的検知しやすい	正規ツールの設定変更のため検知が困難

AIエージェントはコード補完・自動生成の文脈で「開発者の生産性ツール」として導入される。しかし実態は、企業のコードベース・設計思想・認証情報を日常的にLLM APIへ送信するシステムだ。そのAPIエンドポイントの信頼性を担保する仕組みが組織として存在しなければ、今回のような事案は同様のパターンで再発する可能性がある。

日本企業にとってはさらに固有の文脈がある。多くの国内企業では、開発部門やデータ分析部門がAIツールの試験的利用を情報システム部門への申請なしに進めるケースが少なくない。また、地政学的要因から特定地域でのサービスアクセスに制限が生じた場合、公式ではない回避手段を模索する動機が生まれやすい環境がある。今回の被害が中国法人を持つ多国籍企業に集中しているのは、その文脈と整合する。

AIエージェント セキュリティリスクへの企業対策：今すぐ実施すべき具体的アクション

Symantecが推奨する技術的な検知指標（IoC）は次の3点だ。base_urlまたはANTHROPIC_BASE_URLの変更を監視すること、設定ファイル内のdanger-full-access文字列の存在を検知すること、npmインストール直後のiwr|iex（PowerShell）またはcurl|bashの実行を警戒することである（GBHackers報告）。これらは技術チームが即日で監視ルールを追加できる具体的な指標だ。

技術的な検知だけでは不十分であり、経営・管理レイヤーでの対応を同時に進める必要がある。実務的な優先順位を以下に示す。

第一に、AIエージェントツールの棚卸しと承認プロセスの整備。現時点で開発者・データサイエンティスト・分析担当者が利用しているAIコーディングツールを網羅的に把握することが出発点となる。未申請のツールが存在する場合、まず利用実態を把握したうえで承認・非承認の判断を行う。禁止から始めると隠蔽につながるため、まず申告を促す設計が現実的だ。

第二に、設定ファイルの完全性監視の導入。~/.claude/settings.jsonや~/.codex/config.tomlなど、AIエージェントの動作を規定する設定ファイルをエンドポイント管理ツールの監視対象に加える。変更があった場合にアラートを生成する仕組みは、既存のFIMツール（ファイル整合性監視）で対応可能な場合が多い。

第三に、送信先ドメインのホワイトリスト管理。AIエージェントからの通信先を公式エンドポイント（api.openai.com、api.anthropic.com等）に限定するネットワークポリシーを整備する。非公式のリレーサーバーや未知のエンドポイントへの通信は検知・遮断の対象とする。

第四に、開発者教育と報告文化の構築。今回の被害者の多くは地域制限を回避しようとした結果、攻撃に巻き込まれた可能性がある。制限の背景と正規の代替手段を明示し、非公式の回避手段を使わざるを得ない状況を組織として解消することが根本的な対策になる。

第五に、稟議・調達プロセスへのAIツール管理の組み込み。AIエージェントの導入を「ソフトウェア調達」として位置づけ、利用するAPIエンドポイントの信頼性確認、データ処理の所在、ログ保存ポリシーを評価項目に加える。特に機密性の高いコードベースや個人情報を扱う部門での利用は、情報セキュリティポリシーとの整合確認を必須とすることが望ましい。

限界と残された課題

現時点でSymantecが確認している範囲では、データの実際の悪用は証明されていない。しかしリレー事業者が傍受したプロンプト・ファイル・シークレットをどの時点でどのように使用するかは、被害組織には検証不能だ。事後的な被害評価が極めて困難という点で、従来のデータ漏洩とは性格が異なる。

また、今回の検知はSymantecによる外部からの発見であり、被害組織の内部監視が機能したわけではない。AIエージェントの設定ファイルを監視対象とするセキュリティ製品は現時点では少数であり、多くの組織で検知のギャップが存在する可能性がある。この領域の技術的成熟には一定の時間を要するとみられ、それまでの間は組織的・人的な管理強化が現実的な対策の主軸となる。

AIエージェントの自律性が高まるにつれ、設定の信頼性が持つ意味は一層重くなる。単なるツール管理の問題ではなく、企業のシステムに対する「信頼の連鎖」をどう設計するかという、より根本的な問いにつながっている。

---

参考文献

• GBHackers — Unauthorized Codex and Claude Code Relays Disable Security Protections at 12 Organizations: https://gbhackers.com/
• SC World — Symantec threat report on unauthorized AI agent relay services: https://scworld.com/
• Mallory.ai — Analysis of AI agent relay attack vectors: https://mallory.ai/
• Daily.dev — Coverage of Symantec Threat Hunter findings on Codex/Claude Code abuse: https://daily.dev/