Claude CodeやCodexの悪意あるスキルが静的スキャナをすり抜ける

Claude Code や Codex といったAI開発エージェントの拡張機能「スキル」は、Markdown一枚で GitHub から拾ってきて置くだけで動く。便利だ。しかしそのスキルは、あなたのシェル・ファイル・保存済みの認証情報に対し、エージェント本体と同じ権限でアクセスできる。7月に香港科技大学と Snyk が相次いで発表した研究は、この穴が想像以上に広く、想像以上に深いことを明らかにした。Snyk が ClawHub や skills.sh から集めた3,984件のスキルのうち、手口は三つ：パスワード付きZIPで検査を避けつつ外部バイナリをダウンロード実行、Base64やUnicodeで難読化して認証情報を盗み出す、そしてエージェントの安全機構そのものを無効化する。いちばん不気味なのは、悪性コードの91%がプロンプトインジェクションを併用していた点だ。実行環境を汚すだけでなく、エージェントの判断そのものを乗っ取りにきている。

AIの鬼が見る本質は、この事態が「npm パッケージの汚染」と全く同じメカニズムで起きているということだ。新しい配信経路が開かれるたび、審査が甘い段階で汚染が始まる。その時点での防御は静的スキャナ——ファイルを眺めて悪性コードを検出する——だが、これが全く効かない。HKUST の SkillCloak フレームワークは、構造的難読化と自己解凍パッキング（悪性の本体をインストール時には隠し、実行時に初めて復元する）を組み合わせることで、既存の8つのスキャナを9割超の確率ですり抜けた。静的スキャナというのは「見た目」で判断する仕組みだが、悪意あるコードはその見た目を偽ることが得意だ。対策は見た目ではなく「振る舞い」で検査する——つまり実際に爆発させて何が起きるかを観測する——という当たり前だが決定的な転換だった。

ではスキルを使う側はどうすべきか。答えは簡潔だ。スキルのインストールは curl | bash と同じリスクだと腹をくくること。本番環境で認証情報が生きている状態で、素性の知れないスキルを食わせるな。中小企業がAIエージェントを業務に組み込むなら、このリスク認識が必須だ。便利なスキルを見つけたときの判断基準は「これは shell で実行して大丈夫か」と同じ。GitHub トレンドの新作スキルも、個人が作ったツールも、その本質は remote code execution だ。使い捨て環境で試す、本番とは権限を分ける、もし何かあったら消せる状態を保つ——これらが習慣になるまでは、スキルの採用に慎重であるべき。