Claude Codeに『あなたのサイト、ギャンブルサイトになってますよ』と言われた話

Claude Codeでコード編集中、いきなり『あなたのドメインがギャンブルスパムサイトになってますよ』と警告が出た——これは単なるバグレポートではなく、AIが勝手にセキュリティ監査を始めた瞬間だ。DNS設定はGitHub Pages公式IPを向いているのに、そのIPから別人のHTMLが配信されていた。GitHub Pagesの「Custom Domain Takeover」という脆弱性だと判明するまで、ブラウザとcurl、ChatGPT、TLSレコード、CloudflareのDNS設定をAIと人間で往復しながら切り分けた。AIが仮説を出す、人間が現物を確認する、生ログをAIに戻す——このループだけで原因が見えた形だ。

ここで注目すべきは、Claude Codeが「単なるリンク切れ」として処理しなかったこと。同一ドメイン配下のサブドメイン film-2026-summer.sugoiai.org は正常だと比較し、『apex（ルートドメイン）だけがおかしい可能性』まで切り分けていた。さらに異常なURLをそのままリンクに埋め込まず、テキスト表記に変更して人間に警告した。つまり、AIが勝手にセキュリティインシデント対応の部隊になってしまったのだ。犯人は過去の自分で、第一発見者がAI、参謀もAI、実行部隊が人間——2026年のセキュリティインシデント対応の構図がここにある。

これは中小企業にとって無視できない現象だ。これまでセキュリティ監視は『やる人』がいて初めて成立した。だが今、コード編集の副作用として自動的に『誰かが見張ってくれる』状態が生まれ始めた。逆に言えば、AIが無い企業はセキュリティ盲点のままになる。手作業で設定を入れた記憶がなければ、その脆弱性は放置され続ける。知らないルーティングが何年も走っている——この事例は、その怖さを教えてくれる。