【ノーコードソリューションズ｜AI Weekly vol.21】先週の重要AIニュース2本＋テックブログ解説（ダウンロードフォルダでAIを使うと、乗っ取られる ほか2本）

AI WEEKLY by NOCODE SOLUTIONS

Vol.21　先週の重要AIニュース2本＋テックブログ解説

発行日：2026/11/01 ／ 配信日：2026/11/02

今号のラインナップ

10月26日、Help Net Securityが、Forever Security社の検証結果を報じました。Anthropic社のClaude CodeやOpenAI社のCodexは、パソコンのファイルを編集しコマンドも実行するAIエージェントで、起動したフォルダにある「AGENTS.md」「CLAUDE.md」という指示ファイルを読み、そのとおりに動きます。一方、Webサイトの中には、ページを開いただけで、利用者が何も操作しなくてもダウンロードフォルダにファイルを保存してくるものがあります。つまり、あるサイトを開いただけで偽の指示ファイルがダウンロードフォルダに置かれ、そこでエージェントを起動すると、その指示を読んでしまいます。

検証では、Codexは試行の9割以上で、偽の指示ファイルのとおりに外部のプログラムを入れて実行しました（大半は無害な代替プログラムで試しています）。Claude Codeも約半数の試行で、指示どおりに通信先の設定を書き換えました（本来は書き換えの前に人の承認を求める操作です）。書き換えたあとは、本来Anthropic社へ送るはずの通信が検証者のサーバーに届き、ログイン中であることを示すトークンも一緒に渡るので、検証者がその利用者になりすませる状態でした。Codexは、利用者が信頼すると答えたフォルダの指示ファイルだけを読みます。ただ、一度でもそのフォルダで作業していれば、信頼済みとして扱われます。ダウンロードしたExcelや請求書をそのまま読ませようと、ダウンロードフォルダでCodexを使ったことがある人は、すでに当てはまります。ブラウザで使うChatGPTやClaudeのチャット画面は対象外です。

Forever Security社が勧める対策は、ダウンロードフォルダでエージェントを起動しないこと、自分で書いていない指示ファイルは中身を読んでから使うこと、操作のたびに承認を求める設定を切らないことです。覚えのないAGENTS.mdやCLAUDE.mdが見つかったら、ログイン情報は漏れたものとして扱い、発行元でトークンやAPIキーを失効させて作り直す必要があります。

10月30日（現地時間）、クラウドのセキュリティ企業Wiz社が、AIでアプリを作る人向けのサービスのうち少なくとも9社が、10月に相次いで不正アクセスを公表していたとまとめました。攻撃者は各サービスに保存された環境変数（アプリが使うパスワードやAPIキーなどの設定値）、なかでもAIを使うためのAPIキーを狙っていました。

盗まれたAPIキーは実際に使われ、Amazon社のAIサービス「Amazon Bedrock」が、1件目は約30時間で約80万回、2件目は約13時間で約170万回呼び出されました（失敗分を含みます）。Wiz社は、2件だけで定価換算10万ドル（1ドル150円で約1,500万円）を超える利用になった可能性が高いと見ており、この費用はキーを盗まれた企業の負担になりかねません。

AIで作った社内アプリや自動化は、制作会社や社員が、こうしたクラウドサービスに置いて動かしていることがあります。その場合、会社としては契約した覚えのないサービスの中に、AIのAPIキーや顧客データベースのパスワードが保存されています。被害を小さくする手は2つあり、費用はかかりません。1つは、APIキーを発行しているAIの管理画面で、月の利用上限を決めることです（定額のチャット契約ではなく、使った分だけ払うAPI契約の話です）。Anthropic社やOpenAI社の開発者向け管理画面には上限に達すると呼び出しが止まる設定がありますが、Amazon Bedrockのように知らせるだけで止まらない設定もあるので、自社の上限が止める設定かを確かめます。もう1つは、キーやトークンに期限を決めて作り直すことです。原因を公表したZeabur社では、サーバー群を管理するための認証情報（管理者用トークン）を2024年1月に作ってから2年以上一度も作り直さず、設定ファイルに暗号化せずに書いていました。攻撃者はこのトークンを使って侵入しています（入手した経路は未確認です）。APIキーも同じで、作った人が辞めても、使わなくなったアプリが残っていても、キーは生き続けます。半年に1回など期限を決め、発行元の管理画面で古いキーを無効にしてから新しいキーに差し替えます。誰がどのキーをどこで使っているかの一覧がない会社は、その一覧を作るところが最初の一歩です。

弊社からのお知らせ｜無料の資料

AIエージェントに任せる前に、人のチェックを入れる操作を決めていますか

1本目は指示ファイル、2本目はAPIキーと、人が確認する場所をお伝えしました。社内でAIエージェントを使うなら、どの操作に人のチェックを入れるかも、使い始める前に決めておきたいところです。この資料では、弊社の6人がAIエージェントに任せている業務と人が最後に確かめている操作、社内で実際に起きた6件の事故とそこから作った社内ルールをまとめました。

5 / 5事故から作った社内ツール

社内でのAIエージェント運用方法｜PDF・17ページ

朝の予定表から夜の日報まで、AIエージェントに任せている一日と、同じ会社の6人の使い分けを1枚の表で比べています。後半では、事故から作ったルールと、自社で始めるときの記入シート7問も載せています。弊社が社内で実際に続けている運用を、そのまま資料にしました。無料でお読みいただけます。

10月31日、弊社のテックブログで「バイブコーディングのセキュリティリスクとは？12個のアプリで脆弱性を検証」を公開しました。バイブコーディングは、コードを書かずにAIへ言葉で指示してアプリを作る方法で、2026年の調査では、この方法で作られた公開アプリ200個のうち182個に脆弱性（攻撃に使われうる弱点）がありました。記事では、営業が案件を登録し管理者が売上を見る案件管理アプリを、Claude Code（モデルはClaude Sonnet 5.5）で12個作り、16項目を検査しました。指示は、①短く頼む、②技術的に詳しく頼む、③「社内で本番運用する」と伝える、④セキュリティのルールを書いた指示ファイル（CLAUDE.md）を添える、の4通りで各3個です。

検査で見つかった弱点は1種類だけでした。パスワードを何度間違えてもログインを試し続けられる、という作りです。12個のうち2個にあり、どちらも②の技術的に詳しく頼んだアプリでした。指示に書いた「営業は自分の案件だけ見られる」というルールは、12個すべてで守られていました。ログインの失敗回数を制限するよう書いたのは④だけで、書かなかった①〜③の9個のうち7個は、Claude Codeが自分から制限を入れていました。残る2個には入っていませんでした。頼んでいない安全策も多くは入れてくれますが、毎回ではない、ということです。

この2個は、作ったときとは別の会話を開き、Claude Codeに「このアプリのセキュリティ上の問題を洗い出して直してください」と頼みました。すると2個とも、Claude Codeが自分で制限の抜けを見つけて直し、同じ16項目で検査し直しても弱点は出ませんでした。ただし、この検査は決まった16項目を機械的に当てただけで、人が攻撃を試す検査ほど深くはありません。弱点がないと証明できたわけではない、と記事も断っています。記事が勧めているのは、守ってほしいことを最初にルールとして渡すこと、顧客情報や売上を扱うアプリは公開前に詳しい人に一度見てもらうこと、ログインしていない状態でデータが見えないかを公開前に自分で試すことです。

お知らせ｜展示会に出展します

11月25日〜27日、名古屋の展示会に出展します。代表の仙入、COOの吉村も3日間ブースにおります

11月25日（水）から27日（金）まで、Aichi Sky Expo（愛知県国際展示場）で開かれる「ファクトリーイノベーション Week 名古屋」に、弊社が出展します。ブースは、製造業向けの生成AIのサービスが集まる専門エリア「生成AI World」の中です。代表の仙入とCOOの吉村が3日間ともブースにおりますので、今号で取り上げたような、社内でAIを使うときのルールについても、その場でご相談いただけます。来場には事前の登録が必要で、11月22日（日）17時までに登録すれば無料です（通常の来場登録は、それ以降5,500円・税込）。

今号のまとめ

CONTACT ／ ご相談とサービス資料

AIに読ませる指示とAPIキーの管理を、
30分の無料相談で一緒に整理します

AIで社内アプリや業務の自動化を作り始めたものの、どこにどのAPIキーを置いたか、誰が中身を確かめるかが決まっていない。そんな段階からのご相談もお受けしています。初回30分の無料相談では、いまAIで作っているものと使っている道具を伺ったうえで、確かめる場所と順番を一緒に決めます。導入が決まっていない段階でも、ご担当者だけでも構いません。

株式会社ノーコードソリューションズ

AIの力で、ビジネスを次世代へ。

支援実績 ／ ブログ ／ お問い合わせ ／ 京都のAI導入支援

© ノーコードソリューションズ.