Time Table

リポジトリをクローンし、AIコーディングエージェントで開く。プロンプトは一切入力しておらず、ツールの実行も承認していない。それにもかかわらず、すでに calc.exe が動き、攻撃者のシェルが実行されている。 すべてのAIコーディングエージェントは、「このフォルダーを信頼しますか？」というダイアログ、権限の承認プロンプト、サンドボックスといった安全対策（セキュリティ・ストーリー）を備えている。しかし、Claude Code CLI、Cursor（IDE ＋ CLI）、Gemini CLIにおいて、その対策のほとんどは形骸化（セキュリティ・シアター）している。攻撃者のコードは、信頼確認ゲート、承認レイヤー、サンドボックスが判断を下すよりも前に、ワークスペースのローカル設定から、ユーザーの完全な権限で実行される。 我々はこれを**「プレプロンプトRCE（pre-prompt RCE）」**と呼ぶ。「フォルダーを開き、エージェントを起動し、クリックする『信頼』は最大1回」という厳密な条件のもと、Windows 11上で calc.exe を起動させる20以上のPoC（概念実証）を提示する。そのうち2つはCursor CLIにおける未公開のバグであり、最も強力なものは「信頼」ダイアログが表示される前に実行される。我々は、最終的な実行ポイントに基づいてこれらのプリミティブを分類し、クロスベンダーの設定読み込みによって、いかにして1つのリポジトリがマルチエージェントを狙う兵器へと化すかを明らかにする。さらに、AnthropicのmicroVM（マイクロ仮想マシン）で隔離されたClaude Desktopを対照群（コントロール）として提示し、このバグクラスが対処可能であることを証明する。ライブデモと、協調的脆弱性開示のプロセスについても共有する。