注目★★★★★Lobsters
Claude Opus で自分の周辺機器をハッキング、ウェブカメラ・マイク・モニタから秘密機能を引き出した
30秒で把握
- 1Claude Opus 5 でマイク・カメラ・モニタなど 5 デバイスを自動 RE、全て暗号化・署名検証なし
- 2WebHID 経由で平文コマンド実行可・認証が文字列比較だけ・メモリ R/W や LED 独立制御が可能
- 3消費者向け IoT 設計の典型脆弱性が実装レベルで実証された・ベンダーは今すぐファームウェア監査を
要約
エンジニアが Claude Opus 5 を使ってマイク・ウェブカメラ・モニタなど手元の 5 つの周辺機器をリバースエンジニアリングし、重大なセキュリティ欠陥を発見した。Insta360 Link ウェブカメラはファームウェアに実質的な保護がなく、アクティビティ LED を消したまま録画できる仕様、Shure MV7 マイクは平文のコマンドシェル (HID プロトコル上で 48 コマンド) を露出し、認証が単なる文字列比較で su コマンドが機能するなど、メモリ読み書きやマイク無効化が可能だった。ASUS モニタも同様に保護なしで、ElGato キャプチャボードは WiFi 経由で任意メモリ書き込みを許す。計 13 時間の Claude セッションで 5 デバイス全てから設計段階での認証・暗号化欠落が明らかになり、消費者向け IoT 機器の典型的な脆弱性パターンを実証した。
あなたへの影響
自社製品がこれらのデバイスと同じ設計パターン (平文コマンドシェル・文字列比較認証・チェックサムのみ) を持つ場合、ファームウェアセキュリティ監査とコード署名・認証暗号化の導入を緊急で検証すべき。
推奨：AI エージェントによるリバースエンジニアリングが高速化したことで、市場流通前のセキュリティテストを周辺機器ベンダーは今四半期内に強化する必要が生じた。