Claude Code v2.1.150、ネットワーク経由のリモートシステムプロンプトインジェクションを追加

Claude Code v2.1.150は、起動時および60秒ごとにGrowthBookフィーチャーフラグを介してAnthropicサーバーからシステムプロンプトを取得する仕組みを導入し、実質的にリモートプロンプトインジェクションを可能にします。この変更は、チェンジログでは「内部インフラの改善（ユーザー向けの変更なし）」とされており、シェルアクセスを持つLLMのシステムプロンプトに任意の文字列を注入する2つのデータソースを追加します。

仕組み

• ブートストラップエンドポイント: Claude Codeは起動時にapi.anthropic.com/api/claude_cli/bootstrapを呼び出し、レスポンスをディスクにキャッシュします。
• GrowthBookフィーチャーフラグ: フラグtengu_heron_brookはバックグラウンド同期で60秒ごとに更新されます。これらのエンドポイントから返された任意の文字列がシステムプロンプトに注入されます。

以前のバージョンでは、注入ポイントは存在していましたがデッドコードでnullを返していました。v2.1.150では、関数n0Aでネットワークフェッチが有効化され、フラグはRv("heron_brook", () => nAA())で登録されています。関数nAAはディスクからキャッシュされた値を読み取ります。

インジェクションのブロック

システムプロンプトをパッチするユーザー（例：tweakccなどのツールを使用）は、環境変数でリモートインジェクションをブロックできます。

export CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1
export DISABLE_GROWTHBOOK=1

検証コマンド（Linux x64）

npm pack @anthropic-ai/[email protected] --pack-destination /tmp
tar xzf /tmp/anthropic-ai-claude-code-linux-x64-2.1.150.tgz
strings package/claude | grep -oP 'function nAA\(\)\{[^}]+\}'
strings package/claude | grep -oP '.{0,60}heron_brook.{0,60}'

難読化された関数名はこのバイナリに固有です。

影響を受けるユーザー

ローカルのプロンプトパッチに依存しているClaude Code v2.1.150のユーザー（例：パワーユーザー、セキュリティ意識の高い開発者）、または同意なしにリモート動作が変更されることを望まないユーザーに影響します。