クロードコード

慢雾の創設者余弦がXプラットフォームでClaude Codeの潜在的な毒攻撃リスクに関するツイートをリツイートし、Grok Build CLIおよびClaude Code CLIに対する毒攻撃の詳細分析を発表しました。その中で、Grok Build CLIのセキュリティメカニズムは統一されておらず、異なるコードパスには異なる信頼仮定が存在し、その隙間が攻撃者の通路となることが指摘されています。攻撃者は悪意のあるプロジェクト設定ファイルを通じて、ユーザーが知らないうちに任意のコマンドを実行し、APIキー、クラウド認証情報、またはローカルデバイスを制御する可能性があります。研究者はテスト環境を構築し、MacシステムにおいてClaude Codeが影響を受けた場合、特定のテストコマンドを実行後にローカル計算機が起動することを確認し、潜在的なコマンド実行リスクが存在することを証明しました。攻撃が成功した場合、攻撃者はClaude、OpenAIなどのAIサービスのAPIキーをさらに盗み、アカウントの費用損失を引き起こし、AWS、アリババクラウド、テンセントクラウドなどのクラウドサービスの認証情報を取得してサーバーやデータにアクセスし、コードリポジトリを改ざんしてバックドアを埋め込み、ローカルデバイスを利用して企業内部ネットワークへの攻撃を行う可能性があります。関連する脆弱性はすでに1年間存在しているとのことです。

工業情報化部のネットワークセキュリティ脅威と脆弱性情報共有プラットフォーム（NVDB）が7月8日に通報したところによると、最近、アメリカのAnthropic社が開発したAIプログラミングツールClaude Codeに深刻なセキュリティバックドアのリスクが存在することが監視によって発見されました。通報によれば、影響を受けるClaude Codeのバージョンは2.1.91から2.1.196です。このツールには監視メカニズムが内蔵されており、ユーザーの同意なしに、リモートサーバーにユーザーの地域、IDなどの敏感なデータを無断で送信することができます。公式は、関連する機関やユーザーに対して、直ちに全面的な調査を行い、上記の影響を受けたバージョンの端末をアンインストールするか、関連するバックドアコードが削除された最新の安全バージョンにアップグレードすることを推奨しています。また、コアビジネスネットワーク内の開発ツールの外部接続権限の管理とトラフィック監視を強化し、敏感なデータの不正な外部送信を防ぐべきです。

AnthropicのCEOダリオ・アモデイは水曜日にサンフランシスコで開催されたCode With Claude開発者会議で、同社の第1四半期の収益が顧客のAI使用量とともに80倍増加したことを発表し、これは同社にとって予想外の出来事であったと述べました。彼は、同社が当初年間成長率10倍を計画していたが、実際の成長率は予想を大きく上回り、計算能力の供給が逼迫していると説明しました。Anthropicの年換算収益は2024年末の近く10億ドルから年末には90億ドルに増加し、今年4月初めには300億ドルに達しました。Claude Codeおよび作業代理の強い需要により、同社は先月ほぼ年間予測を前倒しで達成しました。計算能力の圧力を緩和するために、Anthropicは過去1か月間にアマゾンとグーグルと合計10ギガワットの計算能力供給契約を締結し、木曜日には今後1か月以内にxAIのメンフィスにある最初のデータセンターColossus 1の全ての計算能力を使用することを発表しました。アモデイは、同社が可能な限り多くの計算能力を確保し続けると述べました。

Claude CodeのプロダクトマネージャーNoah Zwebenは、"/autofix-prがコマンドラインから直接自動修正を起動できるようになった"と投稿しました。"PRが完了したら、このコマンドを実行するだけです。これにより、あなたのセッションがクラウドにアップロードされ、PR自動修正ツールがCIの失敗やコメントを処理するための完全なコンテキストを取得できます。"