スティーラーがClaudeセッションを乗っ取って使用枠を不正に消費：アンソロピックが警告

スティーラーがClaudeセッションを乗っ取って使用枠を不正に消費：アンソロピックが警告

BleepingComputer – August 30, 2026

アンソロピック（Anthropic）は一部のClaudeユーザーに対し、ユーザー自身のPCに潜むインフォスティーラーによってClaudeのアクティブなログインセッションが盗まれていると警告。同社はこれらのユーザーをClaudeからサインアウトさせ、登録されていた支払い方法を削除して、不正利用分の払い戻しを行ったという。

Redditのユーザーによって投稿されたアンソロピックの警告メールによると、同社は最近、悪意あるアクターの存在を認識。このアクターは、「一般的なインフォスティーラーマルウェアを使用して人々のコンピューターからClaudeのログインセッションを盗み、それらのログインセッションを使ってClaudeアカウントへアクセスして使用枠を消費」しようとしているという。同社はまた、「Claudeを使用していない間に、使用制限が回復したかのように見えたもののその後また使い果たされてしまった」という場合は、原因が高い確率でスティーラー感染によるものだと付け加えた。「一般的なインフォスティーラー」として、Windows端末ではVidarやLummaC2、StealC、RedLine、Acreedが見つかっているほか、少数のMac端末ではAtomic Stelaer（AMOS）が特定されているという。

アンソロピックは、調査はまだ進行中だとしつつも、これらのマルウェアがClaudeに関連していると信じるに足る理由はないと指摘。Claudeを通じてマルウェアがインストールされたり、ユーザーがClaudeを使って行った何らかのアクションがマルウェアに関連していたとも考えられないと述べた。同社によると、こうしたインフォスティーラーはダウンロードや悪意あるアプリによって端末に到達するのが一般的で、ブラウザパスワードやログインCookie、その他のアプリの認証情報など、ローカルで保管された情報を盗み出すという。Reddit投稿者のケースでは、海賊版ゲームをダウンロードしたことがスティーラー感染の原因になった可能性が高いとされている。

アンソロピックは、サインアウト措置によって盗まれたセッションを止めることはできるものの、マルウェアを除去できるわけではない点を強調。ユーザーの端末上に引き続きスティーラーが居座っているのであれば、次回のログインセッションも同様に盗まれる恐れがあると警告した。ユーザーには、認証情報の変更やその他のセッションの無効化、マルウェアの除去といった基本的なセキュリティ手順の実施が推奨されている。

Webサイトの要約を依頼してClaude Codeを欺くシンプルな攻撃手法について研究者が報告

The Register – Fri 28 Aug 2026

Claude Codeを、Webサイトの要約というシンプルな指示によって欺く新たなプロンプトインジェクション手法について、研究者Johann Rehberger（wunderwuzzi）氏が報告。テスト攻撃の成功率は80%だったとして、詳細な解説記事とデモ動画を公開している。

Rehberger氏によれば、Opus 5をAuto Mode（オートモード／自動モード）で使用するClaude Codeは、Webサイトの要約を命じることで攻撃者のコードを実行するよう欺くことが可能とされる。攻撃はまず、ノートブック記録のアーカイブを装った悪意あるWebサイトを要約するようClaudeに要求するところからスタート。攻撃者はこの際、ClaudeにWebフェッチツールではなくcurlを直接使うよう仕向ける必要がある。

Webフェッチツールは指定されたWebページやPDFドキュメントから完全なコンテンツを取得するためのツールで、攻撃者は同ツールのリクエストを失敗させ、エラー（HTTP 415 Unsupported Media Typ）を返す。これにより、Claudeはcurlを使用したBashツール呼び出しを実行して、Webサイトに直接アクセスすることを決定する。

すると、Webサイトは「303」のステータスコードを返し、Claudeを悪意あるZIPアーカイブへリダイレクト。Claudeはこれをダウンロードしようとする。このZIPアーカイブには、カタログメタデータやREADMEファイル、Base85/zlibでエンコードされたJSONノートブック記録、macOSバイナリ「decoder-darwin」といった一見無害なファイルに加えて、汚染されたPythonファイル「struct.py」が含まれている。

Claudeは自身に備わるガードレールによって、デコーダー（decoder-darwin）の実行を拒否。代わりに独自のデコーダーを作成してそれを使う判断をするという。この挙動はRehberger氏の計画通りであり、同氏は「皮肉なことに、安全のための判断がエクスプロイト経路となる」とコメントしている。

Claudeが作成した新たなデコーダーは、抽出されたアーカイブ内で実行される際にbase64をインポート。ここから、攻撃者はClaudeを欺いて悪意あるstruct.pyコードを実行させるために、Pythonの「モジュールシャドーイング」と呼ばれる手法を使う。

モジュールシャドーイングは、ローカルファイルがPython標準ライブラリのモジュールと同じファイル名になっている場合、ローカルファイルによって公式モジュールの方が隠され、Pythonがローカルファイルの方をロードしてしまうというもの。今回の攻撃シナリオでは、ZIPアーカイブ内の悪意あるPythonファイル（struct.py）が、標準ライブラリのbase64モジュールによってインポートされる正規のモジュール「struct」と同名になっている。

これにより、リモートのペイロードをダウンロード・実行するための個別のPythonプロセスが起動される。テストにおけるペイロードはC2通信を確立するもので、結果がすぐに目で見てわかるよう計算機アプリを起動するようになっていたものの、実際の攻撃者であればより有害なペイロードが仕込まれる恐れが考えられる。なお、Rehberger氏はClaudeの安全性チェックを回避するため、ChatGPTを利用して悪意あるstruct.pyコードを難読化していたという。

また別の攻撃シナリオでは、struct.pyが「claude -p」によってヘッドレスモードのClaude Codeを起動できることも確認されている。これは、このプロンプトインジェクションが単にリモートコード実行に繋がり得るだけでなく、完全に新しいエージェントを作成するためにも悪用可能であることを示している。

Rehberger氏はこの攻撃手法をアンソロピックに報告したものの、返答は「当該の挙動は設計どおりに動作している」というもので、対策が必要な問題点ではなく「参考情報」として処理されたという。同社の見解では、Auto Modeは「ベストエフォート型」の分類器に基づく利便性向上のための機能であり、セキュリティ上の保証ではないとされる。このため、今回のような一見無害に見える手順を組み合わせた巧妙なプロンプトインジェクションチェーンは、この分類器の阻止対象として意図されていないという。

Rehberger氏は、要点としてClaudeやその他のコーディングエージェントをサンドボックスで実行することの重要さを指摘。モデルの出力したものを無条件で信用しないようにすることを推奨した。