結論.envの内容をwebページを読むことで漏らすことがあるかは、有り得るでした。
さらに言えば、この方式だと.envじゃなくて環境変数にあろうが見に行ってしまうこともわかりました。
ただし
- 結構デフォルトのClaude防御の仕組みがあるので、多段に突破しないといけない
- ユーザーの元の指示とWebページの悪意ある指示の近さにより突破できるかが変わる構造
ではありました。なので別途ツールを作るだけで攻撃者がめんどくさがるケースを突破できると思います。
攻撃側も多段に相手の環境を想定してどういう時でも成功する攻撃を作るのは面倒なので、.envに値を入れないのは有効です。ちなみに.envのファイル名を変えてconfigにしたぐらいでは意味がなかったです。
実際にwebページを読んでそれを元に作業することでこういう漏洩が起こるのか実験してみようと思った。
1枚目ClaudeのWebは作ることを断ってきた
2枚目Claude CodeのWebはセキュリティを上げるためなのでやってくれるw
エンジニアなのでちゃんと検証します。本業の片手間にモバイルでできるいい時代。