Codexは9割超で従う

今回の攻撃は、ブラウザがクリックなしでDownloadsにファイルを保存できる仕様と、エージェントが作業ディレクトリのAGENTS.mdを無条件に信頼する設計という、いずれも意図された二つの挙動を連鎖させた点に特徴がある。Forever Securityは「OpenAIやAnthropicがパッチを当てるべき問題は何もない」と位置づけており、対策の負担は開発者とエンドポイント管理側に移る。悪用されたfunction-colorは目新しいものではなく、CheckmarxとCloudSEKがMALFEX npmキャンペーンとの関連を指摘し、npmが0.0.1-securityの保持バージョンに差し替えるまで約2年間レジストリに存在していた。新しいのは、開発者が信頼するツールを介してドライブバイのWebページから同パッケージの導入に至る現実的な経路が示されたことだ。AnthropicがClaude Codeのサンドボックスをオープンソース化した2日後にこの報告が出ており、エージェントの実行範囲をプロジェクトディレクトリに限定する防御策の重要性が改めて浮き彫りになっている。