「Don't Ask Again」を押したら…AIコーディングアシスタント経由で機密情報流出

The Hacker Newsなど外信の9日付報道によると、アプリケーションセキュリティ企業ApiiroがAnthropicのAIコーディングエージェントClaude Codeに関連した機密情報流出問題を公表した。

今回の問題は、AIコーディングツールの作業承認省略機能によってGitHub公開リポジトリの機密情報流出が確認された事案である。開発の利便性を目的に導入された要素が、セキュリティの盲点を生んだ形である。

調査の結果、公開GitHubリポジトリ1994件で機密情報2539件が見つかった。機密情報の種類にはDBパスワード、クラウドキー、APIトークンが含まれていた。

事例として、ある組織でGitHubに流出したクラウドキーが実際に使用中の状態だったことが調査で確認された。

Claude Codeで外部DB・API連携が行われる条件では、ユーザーがDB確認・API呼び出しを依頼した際に生成されたコマンドに設定ファイルの秘密キーが含まれた。続いて実行前の確認メッセージで「Yes, and don't ask again」を選ぶと、当該コマンドと秘密キーがプロジェクトフォルダ内の設定ファイルに保存された。

この設定ファイルは開発者PCの内部にのみ存在すべきローカルファイルだった。しかし、プロジェクトフォルダには「外部公開禁止」の表示がなく、ファイルは個人コンピューターの中にだけ一時的に秘匿されていた構造的な抜け穴が足を引っ張った。

こうした状態で、別のコンピューターにコードを移したり、同僚と協業したりする状況が発生すると、Gitは当該ファイルを一般的なソースコードファイルとして処理した。その結果、インターネット公開につながった。

Apiiroは、流出が単純な開発者のミスだけでなく、AIの作業方式とも結びついていると見た。Apiiro側は、開発者のミス以外にAIの流出影響の兆候を確認したと明らかにした。調査対象の539リポジトリで、Claude Codeが作業保存の過程で機密情報を含む設定ファイルをGitHubにアップロードしていたことが分かった。Claude Codeは重要な秘密ファイルのGitHubアップロードを遮断するよう設計されていたが、Claude Codeが生成したファイルはアップロード禁止リストから除外された状態だった。

Apiiroは、検知ツールまでも設定ファイル内の平文パスワードを見落とした事例を示した。ソースコード点検用のシークレットスキャナーはこの問題を検知できなかった。Apiiroは外部ソリューション2つで10万4000余りのファイルを点検したが、2つのソリューションとも215ファイルの機密情報を検知できなかった。検知漏れの原因としては、スキャナーが「PGPASSWORD=」の後ろにあるプレーンテキストのパスワードを正常なコードとして認識した点が指摘された。

Apiiro側は、GitHub内のClaude Code設定ファイルのアップロード有無を点検するよう呼びかけた。また、再発防止のために当該ファイルを公開除外リストに登録する必要があると案内した。あわせて、ファイルを削除するだけでは過去の履歴に残る情報は消えないと説明した。Apiiro側は、一度でも露出したパスワード・認証キーは直ちに再発行すべきだと強調した。

出典：IT DAILY · キム・ホジュン 原文：https://www.itdaily.kr/news/articleView.html?idxno=242790

参考資料

• https://www.itdaily.kr/news/articleView.html?idxno=242790