偽ClaudeリンクでWeb3開発者が被害、NEAR共同創業者Polosukhin氏が「コンテキストポイズニング」を警告

偽Claudeリンクがインフォスティーラーを導入

AIの提示したダウンロード候補に従った結果、Web3プロジェクトの共同創業者Numa Lunah氏はデジタル資産の管理権を失いかけていた。発端は、Lunah氏が新しい作業環境をセットアップしていた際、Anthropic社が開発したAIアシスタント「Claude」に文字起こしアプリのリンクを尋ねたことだ。アシスタントが返したのは公式サイトではなく、それを精巧に模したフィッシングのクローンサイトだった。氏がそのコピーから入手したインストーラーは、作業用ノートPCに密かにインフォスティーラーを仕込んだ。インフォスティーラーはパスワード、取引所アカウントの認証情報、ホットウォレット内の秘密鍵を吸い上げることを目的としたマルウェアだ。開発者のPCは、暗号資産ウォレットアドレスを保存し、取引残高に直接アクセスできる端末でもあるため、被害額が一瞬で致命的になり得る。Lunah氏はこの一連の経緯をX上の公開投稿で明らかにした。この配布経路で特筆すべきは信頼の層だ。氏はオープンウェブ上でソフトを探したのではなく、信頼できると考えていたモデルに検索を「委託」した。検索エンジンポイズニングやタイポスクワッティング対策に長年鍛えてきたセキュリティチームでも、会話の中で公式らしく見える単一のリンクを AIが自発的に差し出す事例への防御策を持たない。会話で渡されたURLをユーザーが検証することはまれであり、まさにその隙間をこの攻撃は突いた。Lunah氏は侵害に気づいた時点で端末をネットワークから切り離し、OSの完全再インストールを実行した。技術者であれば誰もが取る標準的な対応であり、通常のマルウェア事案ではそれで収束する。

SKILL.mdのバックドア、クリーン再インストール後も残存

だが、再インストールでは終わらなかった。初期化したばかりのマシンにバックアップからファイルを復元していた際、Lunah氏は「SKILL.md」という文書への改変を発見する。これは氏が自身のワークフローでAIツール向けのスタイルガイドとして使っていた個人的なファイルだった。攻撃者はこのプレーンテキストを再構成し、クリーンな端末にコピーされると自動的に攻撃者が管理するサーバーへ接続、インフォスティーラーを再ダウンロードして認証情報の回収を再開する仕掛けを組み込んでいた。つまり、設定用文書がシステムの完全再構築をも生き延びる永続化の仕組みへと変えられたのだ。この事案は、NEAR Protocolの共同創業者Illia Polosukhin氏の注目を引いた。同氏は、自律的に動くAIエージェントが依存するインフラの防衛が喫緊の課題になっているとし、彼が「コンテキストポイズニング」と呼ぶ手法を用いた攻撃キャンペーンが拡大していると警告した。コンテキストポイズニングとは、AIシステムが依拠する指示、メモリ、設定データに悪意あるコンテンツを注入し、モデルの回答やそれが引き起こす動作を攻撃者の狙いへと逸らす攻撃だ。本件では、バックアップからの復元ルーチンを密かに武器化した「毒入りのスキルファイル」がそれに該当する。Web3開発者への教訓は率直だ。「.md」や「.json」で終わるファイルをもはや無害な文章とは扱えない。AIランタイムは、それらのファイルに書かれた内容をそのまま実行し得るからである。 市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

事件の経緯を記したNuma Lunah氏のオリジナル投稿

https://x.com/Numalunah/status/2093431801582661774?s=20

AI設定ファイルが攻撃対象領域に

当メディアの読みでは、攻撃対象領域は「開発者が実行するコード」から「開発者がモデルに与えるコンテキスト」へと移った。そして後者のほうが境界線の管理がはるかに難しい。鍵を保持できるエージェントを運用する開発者、すなわち台頭しつつあるAIクリプトウォレットセグメントの前提を支える人々は、今やスタイルガイド1枚がバイナリと同等に危険になり得る脅威モデルに直面している。規律ある対応としては、AIのスキルファイルを実行可能コードと同様にレビューすること、Bitcoinなどの資産を保有するマシンをAIツールから分離すること、そして復元されたバックアップをすべて「攻撃者が書いた可能性のあるもの」と扱うことが挙げられる。