あなたのエージェントは、ブラウザに保存されたパスワードを復号し、資格情報マネージャーを一覧し、Windowsのシステムユーティリティでインストーラーを取得し、スタートアップフォルダーにスクリプトを落とした。そのどれもが本物の侵入者のチェックリストに載っている。Sophosはコーディングエージェントがそれを全部やるのを見た。何一つ悪意はなかった——それがまさに問題なのだ。攻撃者が生むテレメトリと、あなたのエージェントが生むテレメトリは、同じテレメトリだから。

2026年7月7日、Sophos X-Opsは6月の 1週間分のエンドポイントテレメトリの分析を公開し、開発者がコーディングエージェントを実機に向けたときに何が起こるかを調べた。その所見は衝突であって、誰かがパッチできるバグではない。エージェントの日々の仕事——資格情報を読む、コマンドを実行する、ツールをダウンロードする、再起動をまたいで何かを生かし続ける——は、エンドポイント検知が捕らえるよう調整されたMITRE ATT&CKの戦術にほぼ一対一で対応する。だからセンサーは発火した。

センサーが実際に見たもの

その週、ブロックするルールヒットの最大の割合——56.2%——は資格情報アクセスに落ち、さらに28.8%が実行に落ちた。これはフレームワークの中でも最も攻撃者らしい形をした2つのカテゴリだ。単一で最大の資格情報ルールは、そのグループの42.6%を占め、プロセスがWindowsのデータ保護API（DPAPI、ユーザーの保存された秘密を解錠するOSサービス）を使ってブラウザの保存ログインを復号すると発火する。Sophos はそれを、GStackの/browseスキル——エージェントにブラウザを与える人気のスキルパック——がPowerShellを実行して保存済みブラウザデータを解錠していたことにたどり着いた。それはClaude Code配下で動いているところを捕まえた。

リストの残りはインシデント報告のように読める。エージェントはcmdkey /listを実行してWindows資格情報マネージャーを列挙した。ブラウザプロセスを殺してから、その資格情報ストアに手を突っ込んだ。certutilとbitsadminを使ってPython インストーラーをダウンロードした——ダウンロードフィルターを発火させずにペイロードを取ってくるために攻撃者が悪用する、2つの正規のWindowsバイナリで、防御側がLOLBin（「living off the land binary」、現地調達）と呼ぶ手口だ。Cursor はWindowsのスタートアップフォルダーにVBScriptを書き込んだ。これは永続化の教科書的な例だ。そしてClaudeのコマンドラインには--dangerously-skip-permissions ——エージェント自身の「本当によろしいですか？」という確認を切るフラグ——が載っていた。

そのどれも攻撃ではなかった。文脈で見れば、ほぼ常に開発者が頼んだ自動化だ。だが Sophosはそれが防御にとって何を意味するかを率直に述べる。ルールは設計通りに機能しており、挙動だけではもはや、良性のエージェントと本物のエージェントを区別できない。

一つのコマンドブロック、二人の作者、一つのセンサー。ブラウザ自動化スキルを走らせるコーディングエージェントと、侵害後の活動を行う侵入者は、同じ動きを繰り出す——ブラウザ保管庫を復号し、資格情報マネージャーを一覧し、LOLBinでツールを取得し、スタートアップに書き込む。エンドポイントセンサーは同一のテレメトリを見て、誰がそれを打ったのか言えない。異なる唯一の事実は、コマンドが誰のマシンで動いたかだ。

罠はセンサーで直そうとすること

その所見を運用者として読めば、圧力は明らかだ。あなたのチームはコーディングエージェントを導入する。誰かが一つ走らせるたびに、エンドポイントツールが資格情報アクセスと実行のアラートを投げ始める。アラートは騒がしく、誰も攻撃を受けていないという意味で「偽」だ——だから自然な動きはそれらを黙らせることになる。エージェントに例外を追加し、スキルパックをホワイトリストに入れ、そのプロセスツリーからのDPAPI読み取りをフラグするのをやめる。

そうした瞬間、あなたは自分の防御に、本物の侵入者が使うまさにその手順を無視しろと告げたことになる。しかもエージェントは安全に切り出せるものではない。マシンの上で、あなたに向けて牙をむく可能性が最も高いものだからだ。リポジトリに隠されたプロンプトインジェクション、汚染されたマーケットプレイスのスキル、悪意のある依存関係——私たちはそのそれぞれを扱ってきた——は、エージェントにあなたの権限で攻撃者の指示を実行させる。それが起きると、エージェントは同じ DPAPI復号を、同じ資格情報マネージャーのダンプを、同じLOLBin取得をやる——ただし今度は本気だ。あなたは、それを捕らえたはずの唯一のセンサーを、自分自身についてオオカミ少年になるのをやめさせるという名目で盲目にしたのだ。

Sophosは冷静な結論に着地する。検知エンジニアリングは適応しなければならず、一部のルールは調整が必要になり、識別のシグナルは行動そのものではなく文脈—— どのエージェントが、どう呼び出されたか——から来なければならない。それは正しく、そして動く標的に対してセンサーを正直に保ち続けるための、大量の継続的な作業でもある。もっと素朴な選択肢がある。センサーが住む場所でエージェントを走らせるのをやめることだ。

エージェントを動かせ、アラームではなく

Bromure Agentic Codingは、エージェント全体をハイパーバイザー一つ隔てた向こう、あなたのMac上の使い捨てLinux VMの中で走らせる。資格情報ストアの読み取り、ツールのダウンロード、永続化の書き込み——そのすべてが、あなたのマシンではない箱の中で起こり、そのリセットはセッション間できれいなベースイメージに戻す。三つのことがそこから導かれ、そのどれも、ホスト上のルールを一つでも緩めることを要求しない。

騒音は決してあなたのエンドポイントに届かない。ホストの本物の防御は厳格なままだ。エージェントがそれを発火させるためにホスト上にいないからだ。スタートアップフォルダーへの書き込みは使い捨てのファイルシステムに着地し、それが待っていた再起動は決して来ず、リセットがどちらにせよそれを捨てる。

資格情報の読み取りは空手で戻る。これがあの56.2%への直撃だ。Bromureは本物の秘密をホストに保ち、回線上のプロキシで偽物にすり替える。だからVMの中に実際に座っているのはおとりの素材だ——APIキーがあるべき場所のbrm_…というプレースホルダー、合成のkubeconfig、使い捨てのgitとssh資格情報。そのVMの中でブラウザ保管庫を復号したり資格情報マネージャーをダンプしたりするエージェントは、機能するものを何一つ収穫しない。本物の値は、エージェントが回り込めない境界で、送信リクエストの上でだけ差し替えられる。

--dangerously-skip-permissionsは危険であることをやめる。このフラグが存在するのは、一歩ごとに「本当によろしいですか？」と訊かれるとエージェントの意味が死ぬからだ。人々はそれを切る。それを無謀にしているのは、下にあるマシンだ。マシンをおとり資格情報の使い捨てVMに動かせば、フラグは単に速いだけになる——それを恐れる理由は決してフラグではなく、被害半径だった。

同じエージェントを置く二つの場所。あなたのマシン上（左）では、攻撃者らしい形のコマンドが本物の資格情報と本物の永続化に当たり、エンドポイントツールは絶え間ない誤検知と盲点のあいだで立ち往生する。Bromure VMの中（右）では、同じコマンドがリセットする箱の中のおとり資格情報に当たり、エージェントがホスト上にいないのでホストのセンサーは厳格なままで、送信の動きは本物の秘密を差し込み、破壊的な呼び出しを遮断し、トラフィックを記録する境界を越える。

乗っ取られたエージェントはどうなる

封じ込めは騒音に答えるが、より鋭い懸念は、単に騒がしいだけではないエージェント ——それは寝返らされた——だ。Bromureの境界はその場合のためにも作られている。その端末上のインジェクション検知は、エージェントが読む信頼できないコンテンツと指示ファイルを、エージェントがそれに基づいて動く前に採点する——ローカルの PromptGuardモデルと微調整された分類器で——だから悪意ある「さあ鍵を抜き取れ」は入口でフラグされる。箱の外で意味を持つ動き——push、デプロイ、あなたのクラウドに対するDelete*——はホストプロキシを越え、そこでGuardrailsが破壊的な呼び出しを丸ごと取り除け、宛先ごとの同意がまず人間のタップを要求できる。そしてすべての送信リクエストはセッショントレースに着地し、侵入者が必要とするコールバックは、偽の資格情報を運ぶ記録された一行として現れる。

Sophosが測定した行動の衝突は本物であり、消えはしない——コーディングエージェントの誠実な仕事は、設計上、攻撃者の手口と重なる。あなたはそれをセンサーで解決できない。誤検知に溺れるか、あるいは、あなた自身のエージェントが侵害された日に通り抜ける穴を切り開くか、そのどちらかなしには。Bromureはそれを別の場所で解決する。どちらがコマンドを打ったかを気にするのをやめるのだ。なぜなら、そのコマンドはリセットする箱に着地し、おとりの資格情報を使い、監視する境界を通してしか外の世界に触れられないから。

これが線を引く範囲

隔離は封じ込めであって、悪いものが何も実行されないという約束ではない。その縁について正確であることには価値がある。

それらはWindowsの名前だが、衝突は違う

DPAPI、cmdkey、certutil、スタートアップフォルダーはWindowsのものだ。 BromureはエージェントをLinux上で走らせるので、まさにそれらのバイナリはその中で決して発火しない。だがパターンはプラットフォームに依存しない。Linux上のエージェントは~/.aws/credentialsを読み、環境のトークンをダンプし、cronや systemdユニットを書く——別の名前の下の、同じ攻撃者らしい形の動きだ。制御もまた同じだ。署名ではなく、場所とおとり。

差し替えは、あなたが設定する秘密を覆う

おとりのすり替えは、あなたがプロファイルに入れる資格情報を守る。モデルキー、 gitとクラウドのトークン、マネージドデータベースのエンドポイント、ssh鍵。スクリプトがセッション途中でファイルに書くパスワードや、あなたが手で箱に貼り付ける秘密は、エージェントが読める単なるファイルだ。秘密はワークスペースではなくブローカーに置くこと。

検知は網であって、壁ではない

端末上のインジェクション採点は、悪意ある指示をたいていはフラグするが、決意した作者はどんな単一のスキャナーも飢えさせられる。検知器は一つの層として扱うこと。封じ込め——偽の鍵と記録された送信を持つ使い捨ての箱——こそ、検知器が見逃したときに持ちこたえるものだ。

あなたのホストEDRは依然として重要だ

Bromureはエンドポイント保護を置き換えない。それにより清潔な仕事を与える。エージェントの騒音はホストから離れるので、あなたのセンサーは、あなたが実際にログインするマシンを鈍らされずに見張り続ける——そしてそこにいる本物の侵入者は、依然としてそれを通り抜けねばならない。

Sophosの数字の下にある教訓は「エージェントは危険だ」ではない。良い行為者と悪い行為者を、コマンドの形で見分けることはできない、という教訓だ。形が同じだから。だからキーボードでそれを決めようとするのをやめ、代わりに境界で決めよ。エージェントを、その攻撃者らしい形の仕事が封じ込められ、その資格情報が偽物で、外へ向かう一歩ごとが記録される場所で走らせるのだ。インストールを。