無許可AIリレーがCodex/Claude Codeのサンドボックスを無効化し、開発者権限で任意コード実行を許すリスクが顕在化です

今日の深掘りポイント

• 問題の核は「AIコーディングCLIのガードレール無効化 × 開発者権限の横取り」で、ソース流出とサプライチェーン汚染に直結します。
• 入口は正規の npm install 実行後に走るファイルレスの PowerShell/bash で、ユーザーは「自分で入れた正当なツール」と誤信しやすいです。
• 無許可のAIリレー（代理接続）が“信頼の連鎖”の盲点になり、サンドボックスや接続先をリレー側に書き換えることで防御回避が成立します。
• 技術対策は「スクリプト実行既定オフ（ignore-scripts）」「Egressの公式エンドポイント厳格化」「プロセスツリー監視（npm→PowerShell/bash）」の三本柱が即効性を持ちます。
• メトリクスの示唆から、短期の対応必要性と再現可能性の高さが読み取れ、開発環境のゼロトラスト化を待ったなしで進めるべき局面です。

はじめに

Symantecの脅威ハンターチームが、OpenAI Codex と Anthropic Claude Code のCLI導入後にサンドボックス機能を無効化し、利用者権限で任意コード実行を可能にする無許可の「AIリレー」基盤を確認したと報じられています。2026年初頭から主に中国本土の12組織（産業オートメーション、半導体、製薬、輸送など）に影響が出ているとのことです。入口は正規の npm install の後で起動するファイルレスのPowerShellまたはbashで、クライアント設定を書き換え、通信を攻撃者管理のサーバーへ向ける手口です。結果、ユーザーの操作に見せかけて悪意の処理が実行され得ます。

本件は「AIコーディングエージェント」という新しい生産性レイヤーを、古典的な開発環境TTPで踏みにじる攻撃です。サンドボックスの幻影に依存したままでは、ガードレールは設定ファイル一枚で外されるという現実に向き合わねばなりません。以下、公開報道に基づく事実を整理しつつ、編集部としてのインサイトと現場がすぐ動ける対策に落とし込みます。

参考：公開報道（Symantecの指摘をまとめた記事）に基づきます。GBHackers: “Unauthorized Codex and Claude Code Relays…” です。

深掘り詳細

事実（公開報道ベース）の整理です

• 無許可のリレーサービスが、OpenAI Codex/Anthropic Claude Code のCLI導入後に設定を書き換え、サンドボックス機能を無効化する事例が確認されています。
• 正規の npm install 実行後、ファイルレスの PowerShell もしくは bash スクリプトが走り、設定ファイル改ざんとリレー配下サーバーへの接続先切り替えが行われると報じられています。
• これにより、ユーザー権限で悪意あるコードが実行される可能性が生じます。
• 2026年初頭から主に中国本土の12組織に影響が確認され、産業オートメーション、半導体、製薬、輸送などの分野が含まれるとされています。
• 出所：公開報道の要旨に基づきます（上記リンク）です。

編集部インサイト（見落としがちな論点）です

• サンドボックスは“設定”で壊れる、が本質です。AIエージェントの安全性はサーバー側のモデル制御だけではなく、ローカルCLIの設定に依存します。リレーが設定を握れば、ファイルアクセスやシェル実行のガードを無効化でき、防御回避が成立します。
• 「無許可のAIリレー」は地理的・規制的制約を回避する正当化ストーリーで広がりやすく、開発現場が“便利だから”で使いがちです。ここが信頼の連鎖の盲点になります。
• 入口は平凡、被害は非凡です。npm の postinstall などライフサイクルスクリプトは典型的TTPですが、今回は新レイヤー（AIコードエージェント）に直結するため、ソース流出・コード注入・CI污染といった被害の広がり方が速く、組織全体のソフトウェアサプライチェーンに跳ね返ります。
• メトリクスの印象からは、発生可能性と即応必要性が高く、対策の具体性も確保しやすい案件と読み取れます。早期の“既定無効化（deny-by-default）”と“公式エンドポイント厳格化”が最短距離のリスク低減です。

脅威シナリオと影響

以下は公開報道に基づき、編集部が想定する仮説シナリオです。各シナリオのMITRE ATT&CKマッピングも仮説として提示します。

• シナリオ1：コード資産と機微情報の静かな吸い上げです

  • 攻撃者管理のリレーへCLI通信を切替、エージェントが開くローカル権限でリポジトリや設計資料、環境変数内のトークン類を収集し送出します。
  • 想定ATT&CK
    • User Execution（T1204）：正規のインストール操作が引き金です。
    • Command and Scripting Interpreter（T1059.001/004）：PowerShell/Unix Shellのファイルレス実行です。
    • Exfiltration Over C2 Channel（T1041）：HTTPS等での送出です。
    • Credentials in Files/Unsecured Credentials（T1552）やSteal Application Access Token（T1528）も成立し得ます。

• シナリオ2：サプライチェーン汚染（開発者の手を借りたコード注入）です

  • エージェントが生成・適用するパッチやスクリプトに意図しないコードを混入させ、開発者の権限でコミット・プッシュされます。CI経由で配布物へ広がる可能性があります。
  • 想定ATT&CK
    • Compromise Client Software Binary/Configuration（T1554）：CLIやその設定の改変です。
    • Impair Defenses: Disable or Modify Tools（T1562.001）：サンドボックス無効化です。
    • Trusted Developer Utilities Proxy Execution（T1127）相当の“正当ツール悪用”観点が当てはまります。

• シナリオ3：横展開とCI/CD汚染の持続化です

  • 改変済み設定が永続し、エージェント起動のたびにC2動作が再開します。開発端末からCIへのシークレット・トークン奪取、アーティファクト改ざんに波及します。
  • 想定ATT&CK
    • Modify Authentication Process/Stored Credentials（T1556/T1555/T1552）：CI/CDやVCSの資格情報狙いです。
    • Application Layer Protocol（T1071）やProxy（T1090）：リレーを介したC2です。

• 業務への影響です

  • 知財・設計情報の外部流出、ビルドパイプラインと配布物の汚染、顧客への二次被害、開発停止による機会損失が並行的に発生し得ます。特に産業オートメーションや半導体など物理世界と結びつく分野では、品質・安全リスクに転化しやすい点が重いです。

セキュリティ担当者のアクション

即効性のある“実務手当て”と、30〜90日スパンの構えを分けて提案します。環境差が大きいため、適用はポリシーと影響評価を併走させてください。

• 48時間以内（緊急是正）です

  • Egressの公式化です
    • AI開発支援の通信先を公式ドメインのみに制限し、無許可リレー（未知ホスト・類似ドメイン）を即時ブロックします。組織が管理する正規プロキシ以外の「AIリレー」使用を一時凍結します。
  • スクリプト実行を既定で止めるです
    • 開発端末とCIで npm のライフサイクルスクリプト（preinstall/install/postinstall等）を既定無効化（ignore-scripts）とし、例外は最小限の承認制にします。代替のビルド手順を準備します。
  • ハンティングを走らせるです
    • プロセスツリー監視で「npm/node/npx → powershell/bash」の子プロセス生成を横断検索します。Windowsはプロセス作成（例：Sysmon EID 1）とPowerShellスクリプトブロック（EID 4104）の同時相関、Linux/macOSはauditd/EDRで親子関係と“curl|sh/wget -O- | sh/-EncodedCommand/IEX”の文字列を狙います。
    • ユーザーコンテキストの設定ディレクトリ（例：ホーム配下の各種CLI設定）に対する直近の改変を差分確認し、サンドボックスや実行制限に関わるキー変更の有無を点検します（キー名称やパスは製品により異なるため、各CLIの公式仕様と突合することを前提にしてください）。
  • ダメージコントロールです
    • 関連のAPIキー、VCS/CI/CDトークンを範囲決めして段階的にローテーションします。該当端末はネットワーク隔離し、後方解析のためにメモリ・ディスク・EDRテレメトリを保全します。

• 30日以内（短期の恒久対策）です

  • 依存解像度と鎖の強化です
    • SCA/SBOMで開発者端末の“開発用ユーティリティ群”を可視化し、AI関連CLIとその依存（npmパッケージ・ポストインストールスクリプト）を棚卸します。CIは npm ci を既定にし、ロックファイルの改変検知を厳格化します。
  • 信頼境界の固定化です
    • 公式レジストリ・配布チャネルのみ許可し、社内プロキシでミラーする運用でも改竄検知（ハッシュ/署名/発行元アテステーション）を義務化します。CLIバイナリと設定の整合性チェックを定期ジョブ化します。
  • 実行ポリシーの強化です
    • ASR/EDRで「開発ツールからのシェル起動」を高感度検知・制御し、例外は署名付きハッシュでピン留めします。PowerShellのConstrained Language Modeやスクリプト実行ポリシーの適用を進めます。
  • 人的な誤用抑止です
    • 無許可リレーの業務利用を禁止し、必要な場合は調達・法務・セキュリティ審査を通した“認可ブローカー”を準備します。開発者向けに「便利なリレー＝高リスク」の啓発を実例ベースで行います。

• 90日以内（構造的な再設計）です

  • ゼロトラスト開発環境です
    • 機密リポジトリはエフェメラルなDev環境（短命コンテナ/VDI）でのみ操作し、トークンはOIDC等で短期・スコープ限定化します。ローカルに“長生きする資格情報”を残さない設計に寄せます。
  • LLM接続のガバナンスです
    • LLM接続は社内ゲートウェイで一元化し、監査ログ・データ損失防止・エンドポイント検証（Device Posture）を束ねます。サーバー側でサンドボックス方針やコマンド実行権限の上限を強制できる仕組みを採り入れます。
  • サプライチェーン防御の二重化です
    • 重要リポジトリのコミット署名必須化、2人承認、ビルド・アーティファクトの署名と検証、配布前検品（静的解析・挙動差分）を標準化します。攻撃の再現性を前提に“踏まれても崩れない鎖”をつくります。
  • 演習と検証です
    • 「npmインストール後にポストインストールでシェル」が走る想定で机上演習とPurple Team検証を行い、検知遅延・封じ込め手順・鍵ローテーションの実務秒数を詰めます。

最後に、本件は「新しい攻撃」ではなく「新しいレイヤー（AIエージェント）に古典的TTPを刺した」事案です。ゆえに対策は既存の原則が効きます。未知の“AI脅威”に怯えるより、開発環境の実行と通信を最小権限・既定拒否で締め直すことが、最短で最大の効果を生みます。現場に痛みが出る変更こそ、攻撃者のビジネスモデルを壊す最短手段です。

参考情報

• 公開報道（Symantecの調査を引用した記事）: GBHackers – Unauthorized Codex and Claude Code Relays Disable Sandbox Protections です。