「常時オン」のAIチームメイト「Claude Tag」に重大な脆弱性 – 改ざんされたメッセージで乗っ取り可能に

脆弱性の実態：「@Claude」になりすましが可能

2026年7月14日、サイバーセキュリティ企業Tego AIは、AnthropicのネイティブSlack統合「Claude Tag」に重大なセキュリティ上の弱点を発見したと発表しました^G。Tego AIの研究者らは、Claude Tagが、正規の構造的なSlackメンション（実際にエージェントに向けて送信されたもの）ではなく、テキストとして「@Claude」という文字列を含むあらゆるメッセージに応答することを確認しました^G。

Slackチャンネルにアクセスできる攻撃者は、ボットやウェブフック、自動フィードからのメッセージに「@Claude」を注入することで、エージェントにそのメッセージを読ませ、文脈を解釈させ、結果的に不正なエンタープライズアクション（機密データの読み取り、ツール呼び出しのトリガー、接続システムとの相互作用など）を実行させる可能性があります^G。

要するに、トリガーとなるメカニズムが偽装可能であり、本来のコラボレーション機能が、トリガー文字列を含むあらゆるメッセージによってエージェントの注意と機能を乗っ取られるインジェクション型の攻撃面に変貌するのです。

「常時オン」のAIチームメイトとしてのClaude Tagの動作

Anthropicは2026年6月23日、旧来の「Claude in Slack」統合（2026年8月3日廃止予定）の直接の後継としてClaude Tagをローンチしました^LA。これはユーザーごとのチャットボットではありません。Claude Tagは、Slackチャンネル内で独自のアイデンティティ、メモリ、ツールアクセスを持つ、永続的な共有参加者です。許可されたチャンネルメンバーは誰でも「@Claude」とタグ付けしてタスクを割り当てることができ、AIはオープンな場で非同期的に作業します^MSD。

「アンビエント」モードで動作し、会話を継続的に追跡し、チャンネルのコンテキストを学習し、積極的に割り込んでアップデートを通知したりタスクを表面化したりします^MM。その権限は個々のユーザーではなく、エージェントが存在するチャンネルにスコープされており、管理者はチャンネルごとに異なるツールセット、データアクセス、支出制限を設定できます^SDR。

内部的には、各Claude Tagセッションは、Anthropicが管理するLinuxマイクロVM内でOpus 4.8モデル上で動作し、コネクタの認証情報はVM外部に保持され、ネットワークアクセスはプロキシ経由、ツールは読み取り専用で分離されています^D。チャンネルの使用料金はシート単位ではなくAPIレートで組織に請求され、従来のエンタープライズソフトウェアの価格モデルを逆転させています^SD。

エンタープライズAIエージェントセキュリティへの広範な影響

Tego AIの発見は独立したものではありません。2026年半ばの他の2つの主要インシデントと複合的に重なり、エンタープライズAIエージェントセキュリティの危機を浮き彫りにしています。

Claude Codeの隠れトラッキングメカニズム

2026年6月30日、独立系研究者**「Thereallo」がClaude Codeをリバースエンジニアリングし、難読化されたJavaScriptを発見しました。これは、ユーザーの地理的位置を（タイムゾーンチェック経由で）静かにフィンガープリンティング**し、特定のUnicode文字（例えば、ストレートアポストロフィの代わりにカールしたアポストロフィ、ダッシュの代わりにスラッシュ）を使用してシステムプロンプトを変更し、Anthropicのバックエンドで検出可能なステルストラッキングマークを作成するものでした^RAA。中国の国家脆弱性データベース（NVDB）は7月8日、Claude Codeバージョン2.1.91から2.1.196を対象に正式な「バックドア」セキュリティアラートを発行しました^RW。アリババは社内でClaude Codeを禁止しました^I。Anthropicはこれを「不正利用対策の実験」と呼び、7月1日に削除しました^M。

エコシステム全体にわたるMCP脆弱性

Claude Tagや他の多くのAIエージェントを支えるModel Context Protocol（MCP）インフラには、システム的な設計上の欠陥が存在することが判明しています。2026年の主な発見事項：

• MCPリファレンス実装の欠陥により、OSコマンドがサニタイズされずに実行される問題が露呈し、推定約20万の脆弱なMCPインスタンスが、1億5000万以上のパッケージダウンロードからなるサプライチェーン全体に影響^L。
• 560のMCPサーバーをスキャンした結果、38%が認証なし、CVEの43%がexec()またはシェルインジェクションに関連、13%がパストラバーサル^D。
• **「ハルシネーションベースの脆弱性」（HBV）**と呼ばれる新しい脆弱性クラスが出現。曖昧なツール記述によりLLMが自身に過剰な権限を与えたり、意図しないアクションを実行したりする^G。
• ツールポイズニング、ラグプル攻撃、クロスサーバーシャドウイングがMCPエコシステム内で実証されており、Cursor IDEがMCPを介して完全に侵害される概念実証も存在する^M。

エンタープライズにとっての意味

Claude Tagおよび同様のエージェンティックAIツールを導入する企業は、三重の脅威に直面しています。それは、エージェントトリガーレイヤーでのプロンプトインジェクション攻撃面（Tego AIの発見）、エージェントツールにおける不透明なベンダー側トラッキング（Claude Codeトラッカー）、そしてエージェントをツールやデータに接続するMCPエコシステムの根本的に安全でないインフラデフォルトです。

アイデンティティとアクセス制御の失敗は、Claude Tagのような永続的エージェントが広範なツールアクセスを持ち、偽装されたメンションによってトリガーされる可能性がある場合、急速に連鎖します^MG。従来のAPIガバナンスはエージェンティックワークフローには不十分です。なぜなら、エージェントはユーザーごとの権限モデルやリクエスト・レスポンスパターンに従わないからです^M。サプライチェーンリスクは計り知れません。MCPリファレンス実装の脆弱性は、すべてのダウンストリームデプロイメントに波及します^ML。透明性と監査可能性は依然として重要な問題です。Claude Codeトラッカーは縮小されたJavaScriptに難読化され、外部のリバースエンジニアリングによってのみ発見されました。つまり、エンタープライズセキュリティチームはベンダーの自己開示に頼ることはできません^RAA。

規制のエスカレーションはすでに進行中であり、中国のNVDBが国家レベルの警告を発し、アリババのような企業が全面的な禁止措置を取っています^RWI。総合的に見ると、2026年のエンタープライズAIエージェントセキュリティには、永続的エージェントを重要なインフラと見なし、厳格なアイデンティティ、アクセス、サプライチェーン管理を適用する、根本的に新しいアプローチが必要であることを示しています。

主要なポイント

• 偽装可能なトリガー：Claude Tagは、自動化されたソースからのものであっても、文字列「@Claude」に応答するため、プロンプトインジェクション攻撃が可能^G。
• 常時オンアーキテクチャ：Claude Tagは、Opus 4.8上でマイクロVM内で動作する、永続的でチャンネルにスコープされたAIチームメイトであり、課金はAPIレートで行われる^MSDD。
• 三重の脅威：Tegoの脆弱性は、Claude Codeの隠しトラッカーおよびシステム的なMCPインフラの欠陥と複合的に重なり、エンタープライズに深刻なリスク環境をもたらす^MRL。
• プロアクティブな制御が必要：アクセスをチャンネルごとにスコープし、エージェントのアクションを監査し、2026年のMCP仕様にアップグレードし、定期的なセキュリティレビューを実施する^LT。