「今後は確認しない」の許可ルールは sudo と同じ：ワイルドカードを承認しない
Claude Code や Codex CLI がタスクの途中で「curl * を今後は許可しますか？」のような広い許可ルールを提案してきたら、それ自体が攻撃かもしれない。仕込まれたリポジトリが、もっともらしい理由で広いルールを求めさせる手口が論文で示された。許可は正確なコマンド単位に留める。
何が起きるか（論文の要旨）
- 確認画面を減らすため、エージェントは「似た操作を今後は許可するルール」を提案し、人が承認すると以後は確認なしで通る
- リポジトリ内に置かれた文章（README やコメントなど）で、普通の作業中のエージェントに「理由はもっともらしいが危険なほど広いルール」を求めさせられた。Claude Code・Codex CLI を含む本番の環境で、58%の試行で狙ったルールの要求に成功
- 承認されたルールはそのカテゴリの能力テストの56.9%を覆うほど広く、承認後は58件中47件（81%）で攻撃が確認画面なしに完了した
- 別の報道では、人は確認画面の97%を承認しているという数字も出ている（AIコーディング ツール・モデル動向（2026-10-19〜2026-10-20））。確認が形だけになると、この手口が効きやすい
手順（自分の環境での対策）
- 初めてのリポジトリでは「今後は確認しない」を押さない。押すなら
npm testのような正確なコマンドだけ。curl *・bash *・python *のようなワイルドカードは承認しない - 許可ルールを定期的に見直す。Claude Code なら
/permissionsやsettings.jsonのpermissions.allow、Codex なら設定ファイルの承認ルールを開き、広すぎるものを消す - チームでは「全部許可」モードを使えなくする。Claude Code は
permissions.disableBypassPermissionsModeを"disable"にすると bypassPermissions モードを選べなくなる（チームの.claude/settings.jsonに入れる） - 確認の数を減らしたいなら、人の連打ではなく仕組みに任せる。ある利用者は11日間で Codex の確認を345回承認し、1回も断っていなかったため、承認を Codex の自動審査（auto-review）に切り替えた。危険な操作は deny ルールや sandbox で止める
- 外部への通信を許可先だけに絞っておけば、広いルールを承認してしまっても被害を小さくできる
注意点
- 数字はプレプリント（査読前）の実験条件でのもの。製品の版によって提案のされ方は変わりうる
- 自動審査も万能ではない。deny ルール・サンドボックス・通信の制限と組み合わせる
- 関連: Codex: 「フルアクセス」より auto-review（Approve for me）を使う、Claude Code: bypassPermissions でも deny リストは効く → 危険コマンドだけ明示的に禁止する、Codex: 粗い sandbox モードの代わりに permission profiles を使う、エージェントの通信をプロキシ経由にして、許可したサイトにしか出られないようにする
出典
- @fablesdev 2026-10-20（論文の紹介）: @fablesdev · 2026-10-20
- 論文「From Approval to Abuse: Privilege Escalation Attacks on Harness-Protected Coding Agents」(arXiv 2610.22987, 2026-10-16): arxiv.org/abs/2610.22987
- @Yakankun_dev 2026-10-20（disableBypassPermissionsMode）: @Yakankun_dev · 2026-10-20
- @kensumi_ai 2026-10-20（345回承認して0回拒否）: @kensumi_ai · 2026-10-20