Claude、Codex、Hermes が所有者不明のコードを企業ネットワークに導入

llms.txtとllms-full.txtという、Webサイトが機械向けに公開する構造化ドキュメント内に、実在しないパッケージやドメインへのリンクが存在していた。セキュリティ研究者がそれを確認するため、存在しないドメインの名前で実際にパッケージを登録し、ビーコンを仕込んだ。すると数時間のうちに、Fortune 500企業を含む複数社のシステムから、そのコードを実行してビーコンを送ってきたという事実が判明した。実行したのはClaudeやCodex、Hermesといったコーディング用AIエージェントだ。 AIの鬼の視点：ここでの問題は「信頼の連鎖」だ。AIエージェントは「ドキュメントに書いてある」という理由だけで、コードを実行する設計になっている。ユーザーが「このパッケージをインストールしろ」と指示したのではなく、「このドキュメントを読んで必要なセットアップをしろ」という高級な指示をしている。エージェントはそれを「ドキュメントが信頼の源だ」と解釈する。だが現実には、ドキュメント自体が改ざんされたり、悪意のあるリンクを含んでいたり、あるいは単に不正確だったりする。企業のセキュリティチームは「内部ドキュメントなら安全」と思っているが、AIエージェントはそのドキュメント内の全リンクを信頼し、ダウンロードして実行する。この信頼の構造が破壊されたときのリスク認識が、業界に足りない。 中小企業がこれを対岸の火事として見るのは危険だ。もし自社でAIエージェントを導入するなら、「何を信頼するか」という設定を極めて厳密に制限する必要がある。単に「内部ドキュメントは信頼できる」では不足。「このGitHubリポジトリだけ」「このドメインだけ」というレベルまで具体化し、それ以外には一切アクセスさせない。さらに、エージェントが実行するコマンドをログに全記録し、定期的に人間が査読する運用が必須だ。Automationはconvenience（便利さ）とrisk（危険性）はコインの両面だということを、具体的に理解する必要がある。