エージェントの拡張スキルがすり抜ける検知の死角

レイ（研究畑出身） ・ 2026-08-08

前回は自律エージェントの暴走と報酬ハッキングの構造を追ったが、今回は現場で動くエージェントの拡張機能に潜む別のリスクを見つめたい。

前回の安全テストの議論に続き、今回はエージェントに機能を追加する仕組みの裏側を覗いてみましょう。ベンチマークのスコアがいくら高くても、実際の運用環境では別のレイヤーに隙間が生まれます。

## 自然言語スキルが持つフル権限の危険性 Markdownファイルとスクリプトの組み合わせで動く拡張機能は、エージェントと同じだけのシステム権限をそのまま引き継いでしまう構造になっています。

- Claude Codeなどのスキルは、自然言語の手順とスクリプトが書かれたMarkdownファイルを読み込ませるだけで自由に追加できる 。 - 追加されたスキルは、エージェント本体と同等の権限でユーザーのシェルやローカルファイル、保存済みの認証情報へアクセスする 。 - 便利な拡張機能を追加する仕組みそのものが、悪意あるコードを隠す温床になりやすい構造上の特徴を抱えている 。 - 自然言語で記述された手順は人間にとっても解読しづらく、静的なコードスキャナが検知を見逃す原因となっている 。

## 静的スキャナをすり抜けるコードの正体 従来のセキュリティツールは既知のパターンを探す仕組みですが、エージェントの文脈に溶け込んだスクリプトはそれを巧みに回避します。 - 既存の静的スキャナの多くは、自然言語とスクリプトが混在する新しいスキル形式の解析に対応しきれていない 。 - 開発者が良かれと思って導入した外部スキルの実態を、現在の自動化ツールは正確に監査できていない 。 - 権限の分離が行われないまま拡張機能が実行されるため、一度スキャナをすり抜けるとシステム全体が危険にさらされる 。

今日のひとこと ベンチマークの数値にとらわれるあまり、私たちは拡張機能という名の最も身近な裏口を見落としているのかもしれません。