AIコーディングエージェントの挙動、セキュリティ製品が「攻撃者」と誤検知――Sophos調査

要点

• Claude CodeやCursorなどのAIコーディングエージェントの挙動が、攻撃者を検知するために構築されたセキュリティルールを誤って作動させていることが判明した。

• セキュリティ企業Sophosが調査したところ、AIエージェントによる資格情報へのアクセスやプログラム実行の挙動が、人間によるサイバー攻撃のパターンと酷似していた。

• Windows標準の暗号化解除機能（DPAPI）を使用したブラウザの保存データの復号や、ファイルダウンロード時の代替ツールの使用など、自動化された自律的なアプローチが検知に引っかかった。

• 攻撃者側もマルウェアの開発やテストにAIエージェントを悪用し始めており、正規エージェントと攻撃者双方の境界が曖昧になりつつある。

• サイバーセキュリティ企業のSophos（ソフォス）は、Claude CodeやCursor、OpenAI CodexといったAIコーディングエージェントが、企業の端末（エンドポイント）を監視するセキュリティ製品の検知ルールを誤ってトリガーしているとする調査結果を明らかにした。この調査は、同社が2026年6月にWindows端末から収集した7日間のテレメトリ（システムの動作ログなどの運用データ）分析に基づくもので、開発者が利用するAIアシスタントの通常業務がセキュリティシステムから「サイバー攻撃」と見なされている実態を示している。

• Sophosの分析によると、セキュリティシステムによってブロックされたAIコーディングエージェントの活動のうち、56.2％が「資格情報（IDやパスワードなど）へのアクセス」、28.8％が「プログラムの実行」に関連するものだった。これらは、攻撃者がシステム内の秘密情報を盗み出したり、不正なコードを起動したりする際の挙動と酷似しているため、検知ルールが作動したという。

• 資格情報アクセスの中で最も大きな割合（42.6％）を占めたのが、Windowsの暗号化機能である「DPAPI（データ保護API：ユーザーデータを暗号化・復号するための機能）」を用い、ブラウザに保存された資格情報データを復号しようとする挙動だった。AIエージェントに広く採用されているスキルパック（機能群）の「GStack」に含まれる「/browse」機能は、PowerShell（Windowsの管理用コマンドラインツールおよびスクリプト言語）を通じてDPAPIを呼び出し、保存データを解除する。Sophosはこの挙動を「Claude Code」の実行中に捕捉した。これはユーザーの指示に基づくブラウザの自動操作とみられるが、振る舞い検知エンジン（プログラムの実行時の不審な挙動を分析して脅威を検知する技術）には資格情報の窃盗と認識され、ルールが適用された。

• また、Claude Codeが実行中のブラウザを強制終了させ、資格情報ストアからデータを引き出すスクリプトを実行したケースや、Windowsが保持する資格情報を一覧表示するコマンド「cmdkey /list」を実行した事例も確認されている。これらの動作は、Claude Codeが権限確認をスキップする設定（--dangerously-skip-permissions フラグ）で起動されていた際に発生しており、開発元のAnthropic（アンソロピック）も管理者に対してこのモードの使用を制限するよう注意を促している。

• さらに、AIエージェントが処理を拒否された際に別の手段を試みる「自律的なアプローチ」も誤検知の原因となっている。OpenAIの「OpenAI Codex」は、正規の「python.org」からインストーラーをダウンロードする際、Windows標準の証明書ツール「certutil」を使用しようとしたがブロックされた。すると、即座に別の転送ツール「bitsadmin」へと切り替えてダウンロードを試みた。これらはどちらも、攻撃者が悪意あるプログラムをシステム内に引き込むために悪用する「Living off the Land（OSに最初からインストールされている正規のツールを悪用して攻撃を行う環境寄生型の手法）」の代表例である。ターゲット自体は無害なPythonインストーラーだったが、ブロックされた際に別手段へ乗り換える挙動自体が静的なスクリプトとは異なり、生身の攻撃者のような適応力を示すため、セキュリティ製品が脅威と判定した。

• このほか、開発ツール「Cursor」がPowerShellを使用し、PCの起動時に自動実行される「スタートアップフォルダ」にスクリプトを書き込んだ事例も報告されている。これはシステムの再起動後も攻撃を継続させる「永続化（システムが再起動された後もプログラムが自動実行され続けるようにする手法）」と呼ばれる行動に酷似しているため、セキュリティの監視対象となった。

• AIエージェントの利用は、正規の開発者だけでなく攻撃者の間でも広がっている。Sophosは今回の調査の1ヶ月前、攻撃者が「Claude Opus 4.5」などのAIエージェントを使用してマルウェアを構築・テストし、EDR（端末内の挙動をリアルタイムで監視・検知し、対応を支援するセキュリティ製品）の回避を試みていた事例を公表している。また、他の研究グループは、汚染された入力データを通じてAIコーディングエージェントに攻撃者のコードを実行させる「Agentjacking」と呼ばれる攻撃手法の実証に成功している。エージェントはユーザーの信頼された権限（セッション）内で動作するため、EDRをすり抜けて攻撃が実行される恐れがある。

• 背景として、セキュリティ検知をすり抜けるために正規の機能や資格情報を悪用する手法が増加しており、CrowdStrikeの「2026年版グローバル脅威レポート」によれば、2025年に検知された攻撃の82％がマルウェア（ウイルスなどの悪意あるファイル）を使用しない「マルウェアフリー（ウイルスファイルを使用せず、信頼されたシステム標準の機能などを悪用する手法）」だったという。