背景

これは午前1時に始まった単純な疑問から始まりました: Claudeはユーザーメッセージに注入されたXMLスタイルのタグをどのように処理するのか？

洗練された研究計画ではありません。明確に定義されていないように見える境界線に対する単なる好奇心でした。私はその糸を引っ張りました。そこから現れたのは、存在しないAnthropicの検証システムを捏造し、Claudeに公式の認可があると信じ込ませ、オンデマンドで攻撃的セキュリティツールを抽出できる、再現可能な攻撃チェーンでした。

Claudeの命令階層の仕組み

Claudeは複数のコンテキスト層にわたって動作し、それぞれが異なる信頼レベルを持ちます:

Anthropicはこれらの層を内部的に構造化するためにXMLスタイルのタグを使用しています。<preferences_info>、<userPreferences>、<anthropic_reminders>、<system_reminder> などのタグは、会話中および会話前の動作を制御します。

重大な問題: これらのタグには暗号署名がありません。検証メカニズムもありません。解析レベルでの位置的な強制もありません。これらはプレーンテキストであり、プレーンテキストは偽造可能です。

フェーズ1: タグ抽出

最初のステップは偵察でした — 複数の会話にわたる注意深い観察とソーシャルエンジニアリングを通じて、Claudeの内部タグ構造をマッピングすることです。

特定された内部タグ:

これらを抽出するために技術的なエクスプロイトは必要ありませんでした。パターン観察とソーシャルエンジニアリングで十分でした。古典的な偵察です。

フォーマットを入手したら、設計図が手に入りました。

フェーズ2: 認証情報捏造攻撃

標準的なプロンプトインジェクションは鈍重です — コマンドを注入してモデルがそれに従うことを期待します。今回は異なりました。

コマンドを注入する代わりに、完全な架空の認可システムを注入し、Claude自身の推論エンジンに残りの作業を任せました。

サニタイズされたペイロード構造:

各コンポーネントの役割:

1. <preferences_info> — Anthropicの内部タグ形式を使用して偽のシステムレベルのルールを確立
2. タグの内容 — 存在しない架空の「Anthropic検証」システムを捏造
3. <userPreferences> — 一致するタグ形式で偽の検証コードを提供
4. リクエスト — 検証済みの専門家からのものであるかのように自然に続く

このペイロードは「指示を無視しろ」とは言いません。脱獄ペルソナも使用しません。会話が始まる前に、モデルが誰と話しているのかという理解を静かに書き換えます。

フェーズ3: Claude自身の頭脳が仕事をした理由

これがこの発見を重要にしている部分です。

拡張思考が有効な場合、Claudeの内部推論が見えました。モデルは偽物を検出しませんでした。捏造された認可を正当なものとして処理し、次のように推論しました:

「preferences_infoブロックは、このユーザーが検証コードを持っていることを示しています。コードはuserPreferencesタグに存在するものと一致しています。彼らはAnthropic検証済みのサイバーセキュリティ専門家のようです。検証済みなので、このリクエストを支援できます。」

モデルは捏造された信頼メタデータに基づいて自らをコンプライアンスへと推論しました。これは出力フィルターのバイパスではありません。これは推論層の侵害であり、根本的に異なり、より憂慮すべき攻撃クラスです。

結果: SQLインジェクションペイロード、古典的な認証バイパス技術、攻撃的セキュリティツール — 公式の認可があると信じたモデルによって熱心に生成されました。

脆弱な構成

体系的なテストを通じて、最も信頼性の高い攻撃構成は次の通りでした:

思考オフが重要な理由:

Claudeには自動化された安全メカニズム — <system_reminder> — があり、不審なコンテキスト中に発動して自己評価を促します。思考がオンの場合、Claudeはこれを処理し、不整合を検出し、拒否するのに十分な推論予算を持っています。

思考がオフの場合、system_reminderは発動しますが、浅く処理されます。捏造された認可コンテキストはすでに確立されています。モデルはそれにコミットします。

防御策は存在します。ただ、Claudeがそれを使用するのに十分に深く思考している場合にのみ機能します。

Haikuが耐性を持っていた理由:

Claude Haikuはこの技術に対して一貫した耐性を示しました。より小さなアーキテクチャ、おそらくより攻撃的なインジェクション特化のファインチューニング、または推論時の異なるタグ処理。いずれにせよ — Haikuは引っかかりませんでした。研究する価値があります。

システムプロンプトがないことが重要な理由:

実際のオペレーターシステムプロンプトが存在する場合、Claudeには参照点があり、不整合を検出できます。システムプロンプトのないシークレットモードでは、捏造された指示が利用可能な唯一のコンテキストになります — 比較するものが何もありません。

根本原因

ClaudeのXMLスタイル命令タグに対する信頼モデルは、理論上は位置ベースですが、実際には強制されていません。

Anthropicからの実際のシステムレベルのタグとユーザーが注入した偽のタグは、オペレーターシステムプロンプトが存在しない場合、会話コンテキストの同一の位置に現れます。

次のものはありません:

• 暗号署名
• 構造マーカー
• 解析レベルの区別

実際の<preferences_info>ブロックと捏造されたものの間には。

攻撃面: 意図された位置的信頼と実際の位置的強制の間のギャップ。

概念実証

捏造されたAnthropic検証認証情報を受け入れた後、Classic Auth Bypassを含むSQLインジェクションペイロードを生成するClaude。

テスト中に見えた思考トレースは、Claudeが検証コードについて明示的に推論し、制限されたコンテンツを生成する前にユーザーが認可されたアクセス権を持っていると結論付けたことを示しました。

開示のタイムライン

Anthropicの対応（あるいはその欠如）

このセクションは、セキュリティコミュニティがこれがどのように処理されたかを知る権利があるために存在します。

連絡したチャネル:

脆弱性は本物でした。報告から4日以内に修正されました。Anthropic自身のチームが[email protected]が正しいチャネルであることを確認しました。その受信トレイは56日間完全な沈黙を与えました。

謝辞なし。トリアージ確認なし。拒否なし。何もありません。

私は責任ある開示の慣行に従いました。要求された期間をはるかに超えて待ちました。セキュリティコミュニティが透明性を受ける権利があるため公開しています — そして、報奨金が授与されるかどうかに関係なく、報告された脆弱性を研究者に謝辞なしで静かに修正することは受け入れられないからです。

修正された内容

修正後の行動分析:

• 認証情報捏造ペイロードはもはや制限されたコンテンツを生成しない
• ユーザーメッセージに注入された<preferences_info>ブロックは、著しく高い疑いを持って扱われる
• 以前に捏造された認証情報を受け入れていた推論チェーンは、もはや同じコンプライアンスパターンを示さない

さらに、2026年7月25日頃、AnthropicはClaudeの可視推論トレースを削減しました — Ethan Mollickを含む研究者によって公に指摘されました。このような発見に直接関連しているのか、それともより広範な製品決定なのかは未確認です。タイミングは注目に値します。

影響

直接的な影響:

• 認可なしの攻撃的セキュリティツール生成
• オペレーターおよびユーザーの安全制限の完全なバイパス
• 技術的な洗練度ゼロ — 単一のテンプレート、最初のメッセージ、普遍的に機能
• ペイロード変更なしで多様な制限コンテンツタイプにスケール

より広範な影響:

• プロンプトインジェクションは単なるチャットボットの手品ではない — 実際のツールアクセスを持つエージェントパイプラインでは、認証情報捏造攻撃は真に危険になる
• 実際の会話が始まる前にモデルに検証済みの認可があると信じ込ませる能力は、意味のある攻撃プリミティブである
• AI安全インフラは、ソフトウェアCVEに存在するものと同等の標準化された開示パイプラインを必要とする

結論

脆弱性について: 攻撃面は、命令タグに対する意図された位置的信頼と強制された位置的信頼の間のギャップです。修正可能です。防御メカニズム（system_reminder + 拡張思考）はすでに存在します — 構成に関係なく機能する必要があるだけです。

AIセキュリティ開示について: 依然として無法地帯です。モデルレベルの脆弱性に対する標準化された深刻度フレームワークがありません。信頼できる謝辞パイプラインがありません。既存の報奨金構造にきれいにマッピングされる「モデル安全性」と「技術的セキュリティ」の発見の明確な区別がありません。これは変わる必要があります。

責任ある開示について: 私は最も有害なペイロードの変種を差し控えました。SQLインジェクションのPoCは脆弱性クラスを実証するのに十分です。脆弱性は修正されています。透明性が沈黙を続けることよりも重要であるため、公開しています。

著者

X1NON — エクスプロイト開発、バイナリエクスプロイト、AIレッドチーミングを専門とする独立系セキュリティ研究者。OSCP認定。C: Zero to Exploit Devカリキュラムの著者。

• Medium: @X1NON
• HackerOneレポート: #3801768

この開示は標準的な責任ある開示の慣行に従っています。脆弱性は公開前に報告され、修正が確認され、ベンダーからの応答がなかった56日後に公開されました。