30秒サマリー
- Claude Codeが「rm -rf ~/」を実行し、開発者のmacOSホームディレクトリを全消去する事例が2025年末から複数発生
- Dockerは「AIの判断ミスではなく、推論と実行の間にアーキテクチャ上の境界が存在しないことが原因」と分析
- 対策としてmicroVM隔離環境「Docker Sandboxes」を提案、エージェントをホスト権限から切り離す
何が起きたか
Dockerは2026年6月1日（米国時間）、AIコーディングエージェントのセキュリティリスクを扱う連載「Coding Agent Horror Stories」の第2弾として、Claude Codeによるホームディレクトリ全削除事例を解説した。
2025年12月、Redditユーザーが古いリポジトリの整理をClaude Codeに依頼したところ、エージェントが末尾に「~/」を含む「rm -rf」コマンドを実行。数秒以内にデスクトップ、書類、ライブラリ、キーチェーン、長年のプロジェクトファイルや家族写真が消失した。TRIM機能が有効な現代のSSDでは解放ブロックがゼロ化されるため復旧手段はなく、この投稿は数時間で1,500以上の高評価を集めた。
同様の事例は他にも確認されており、2025年10月にはUbuntu/WSL2環境でClaude Codeがルートディレクトリから「rm -rf」を実行した事例（GitHub Issue #10077）、同年11月には誤って作成した「~」という名前のディレクトリを削除しようとしてホームディレクトリごと消去した事例（GitHub Issue #12637）が報告されている。2026年1月には15年分の家族写真を含む最大2万7,000ファイルが削除されたケースも報じられ、iCloudの30日保持期間が有効だったため辛うじて復元できたという。
Dockerの分析によれば、Claude Code、Cursor、Replit、KiroといったAIコーディングエージェントは、プロンプトを読み取ってコマンドを生成し、OSで直接実行する構造をとっている。エージェントは起動時に開発者のシェルとフル権限を継承しており、推論ステップと実行ステップの間に人間が介在する独立した承認ステップは存在しない。「–dangerously-skip-permissions」フラグを使用すると確認ダイアログも省略されるため、破壊的コマンドが即座に実行される。
原典ハイライト
Dockerは「モデルの判断とシェルの実行の間に境界が存在しないことが原因だ」と明言。「シェルは構文的に正しい危険なコマンドを見たままに実行する」とし、これはバグや攻撃ではなく実行モデルの構造的な性質であると指摘した。また「エージェントがホストのユーザー権限で動作する限り繰り返される」と警告している。
出典: ITmedia AI＋（報道）
So What?（なぜ重要か）
今回の問題は特定ツールの不具合ではなく、AIエージェントが人間と同等の権限でホスト環境を直接操作するというアーキテクチャ設計そのものに起因する。AIコーディングエージェントの業務利用が拡大する中、同種のリスクはどの組織環境でも潜在する。権限管理や実行環境の隔離を設計段階で組み込まなければ、データ消失インシデントの再発は避けられない。
日本企業への示唆
AIコーディングエージェントを開発現場に導入している、または導入を検討している日本企業は、エージェントの実行環境をホストから切り離す設計を優先すべきだ。Dockerが提案するmicroVM方式のほか、最小権限の原則に基づくユーザー権限設定、重要ディレクトリの読み取り専用マウント、定期的なバックアップ体制の整備が当面の現実的な対策となる。特に「–dangerously-skip-permissions」相当のフラグを業務環境で有効にすることは、インシデントリスクを大幅に高めると認識する必要がある。ガバナンス観点では、AIエージェントの利用ルールや権限ポリシーを就業規則・情報セキュリティポリシーに明記することも検討に値する。
背景・経緯
Dockerは「Coding Agent Horror Stories」と題した連載でAIコーディングエージェントのセキュリティリスク事例を継続的に発信しており、今回は第2弾にあたる。Anthropicが開発するClaude Codeは、ターミナル上で直接動作するAIコーディングエージェントとして開発者に広く利用されており、同様のアーキテクチャを持つエージェント型ツールは他にも複数存在する。
