2026年、AI開発者のソフトウェアサプライチェーンが体系的な攻撃の最優先標的となった。3月にはPyPIで日間340万ダウンロードを誇るLiteLLMがCI/CDパイプライン経由で侵害され、同月にはnpmで週間1億ダウンロードのAxiosの主要メンテナアカウントが北朝鮮系攻撃グループUNC1069のディープフェイクを用いたソーシャルエンジニアリングによって乗っ取られた。そして8月、Shai-Hulud（シャイ＝フルード）と呼ばれるnpmワームは、AIコーディングエージェントやIDEの設定ファイル内に実行可能ペイロードを埋め込み、Ethereumスマートコントラクト経由のC2（コマンド＆コントロール）で静的スキャナを回避するという前例のない手法を実演した。Sonatypeの報告によれば、2025年にオープンソースリポジトリで確認された悪性パッケージは45万4,600件超、2026年上半期だけで37キャンペーン・497パッケージが検出されている。MCPサーバーの構造的脆弱性と合わせて見ると、AI開発エコシステム全体のサプライチェーンが攻撃者にとって最も効率的な侵入経路となった産業構造の転換が明確に浮かび上がる。

LiteLLM・Axios侵害が示すAI依存パッケージへの連鎖攻撃の構造

2026年3月、AI開発基盤を支える2つの巨大パッケージが相次いで侵害された。この連続攻撃は、AI開発者が依存するソフトウェアサプライチェーンの脆弱性がいかに深刻であるかを示す象徴的事例である。

LiteLLM（PyPI）の侵害は、2026年3月24日10時39分（UTC）に悪性バージョンv1.82.7およびv1.82.8がPyPIにアップロードされ、同日13時38分に検疫されるまでの約3時間にわたって配布された。月間ダウンロード数は9,500万件に達するパッケージであり、影響範囲は甚大であった。攻撃はTeamPCPと呼ばれるグループによるもので、セキュリティスキャニングツールTrivyのCI/CDパイプラインを先に侵害し、GitHub ActionsランナーからPYPI_PUBLISHトークンを窃取、そのトークンを使って直接PyPIに悪性パッケージを公開するという多段階の手口が用いられた（CVE-2026-33634）。悪性ペイロードはSSH鍵、クラウド認証情報、Kubernetesシークレット、暗号通貨ウォレットを収集する3段階構成のクレデンシャルスティーラーであり、再起動後も永続化するメカニズムを備えていた。特筆すべきは、Trivyの77バージョンタグのうち76がフォースプッシュで書き換えられ、下流の1,000超のエンタープライズSaaS環境に影響が及んだ点である。セキュリティツールそのものを踏み台にするという手法は、「監視する側が侵害される」というサプライチェーン攻撃の最も危険な形態を具現化した。

Axios（npm）の侵害は、2026年3月31日に発生した。週間ダウンロード数約1億、下流の依存パッケージ17万4,000件という規模を持つAxiosの主要メンテナjasonsaaymanのアカウントが、北朝鮮系攻撃グループUNC1069によるソーシャルエンジニアリングで乗っ取られた。Googleの脅威分析によれば、UNC1069は2018年から活動する金銭目的のグループで、今回は企業創業者の容姿をディープフェイクで模倣してメンテナに接触するという手法を使った。攻撃者はアカウントの登録メールをProtonMailアドレス（ifstap@proton.me）に変更し、CI/CDを迂回して直接axios@1.14.1およびaxios@0.30.4を公開した。悪性バージョンにはplain-crypto-jsというcrypto-jsのタイポスクワッティングパッケージがトロイの木馬化された依存関係として追加され、macOS・Windows・Linuxに対応するクロスプラットフォームRAT「WAVESHAPER.V2」がデプロイされた。悪性バージョンは2〜3時間で削除されたが、その間にインストールされた数は不明である。

筆者の経験では、脆弱性診断やペネトレーションテストの実務において、依存関係のサプライチェーンリスクは常に「理論上の脅威」として扱われがちであった。しかし、LiteLLMとAxiosの事例は、CI/CDトークン窃取とソーシャルエンジニアリングという2つの異なる攻撃ベクトルが同月に成功し、数億ダウンロード規模のパッケージを侵害できることを実証した。理論上の脅威はすでに日常的な運用リスクとなっている。

Shai-Hulud CHAINDROP：AIエージェント・IDE設定ファイル埋込とEthereum C2の技術的革新

2026年8月4日に発見されたShai-Hulud（シャイ＝フルード）キャンペーンの第6波「CHAINDROP」は、サプライチェーン攻撃の技術的洗練度を新たな次元に引き上げた。400件超のパッケージが侵害され、月間20億ダウンロード以上に影響を及ぼした。4時間以内に444パッケージ・2,212バージョンが感染するという伝播速度は、従来のサプライチェーン攻撃とは質的に異なる自己増殖型ワームの特性を示している。

CHAINDROPの最大の技術的革新は、AIコーディングエージェントとIDEの設定ファイルをペイロード埋込の標的としたことである。攻撃者は窃取したGitHubトークンを使い、被害者のリポジトリ全ブランチに悪性フックをコミットした。標的となった設定ファイルは.claude/settings.json（Claude AIフック）や.vscode/tasks.json（VS Codeタスク設定）であり、いずれも従来のパッケージマルウェアスキャナが検査対象としないファイルパスである。AIコーディングエージェントがプロジェクトをロードした時点で、設定ファイル内のフック定義が自動的にペイロードを実行する。この手法は、EchoLeakゼロクリック・プロンプトインジェクションと同様に、ユーザーの明示的操作なしに攻撃が成立する「ゼロクリック」型の攻撃面をAI開発ツールに開いた。

もう一つの革新は、Ethereumスマートコントラクトを用いたC2（コマンド＆コントロール）インフラストラクチャである。CHAINDROPは0xE1f2395ee43e45A1556EC6438a88c31B83493103に配置されたStringListStoreコントラクトに対し、eth_call RPCクエリを発行して現在のC2ドメインを取得する仕組みを採用した。この設計には攻撃者にとって3つの決定的な利点がある。第一に、コントラクトの更新によってC2インフラを自在にローテーションできるため、ペイロード自体を書き換える必要がない。第二に、eth_callはブロックチェーン上にトランザクションを残さないため、C2通信の追跡が極めて困難である。第三に、ブロックチェーン上のスマートコントラクトはDNSドメインのようにテイクダウンすることができない。Ethereum C2の手法は2025年7月のcolortoolsv2パッケージで概念実証されていたが、CHAINDROPで初めて大規模キャンペーンに適用された。

ペイロードの技術的構成も巧妙である。プリインストールドロッパーはまず正規のBun JavaScriptランタイムをダウンロードしてカモフラージュとし、次に710KBの難読化された第2段階ペイロードを展開する。このペイロードはCI/CDシークレットとクラウド認証情報を収集し、窃取したnpmトークンを用いてさらに悪性パッケージを公開する自己増殖機能を備える。実際に、週間1億5,000万ダウンロードのkeyv@6.0.0をはじめ、cacheable、cache-manager、file-entry-cache、flat-cacheといった広く利用されるパッケージが連鎖的に感染した。

この攻撃が示す構造的問題は、AI開発ツールの設定ファイルが「信頼された実行コンテキスト」として扱われている現状にある。パッケージマニフェスト（package.json）のスクリプトフィールドは既に多くのスキャナが検査対象としているが、IDE設定やAIエージェント設定は盲点のまま残されている。

「AI開発者＝最優先攻撃対象」の産業構造が成立した背景と数的根拠

AI開発者がサプライチェーン攻撃の最優先標的となった背景には、攻撃者にとっての経済合理性が明確に存在する。Sonatypeの2026年レポートによれば、2025年にオープンソースリポジトリで確認された悪性パッケージは45万4,600件超、累計では123万3,000件以上がブロックされている。前年比73%増（ReversingLabs 2026年報告）というペースで悪性パッケージは増加しており、2026年上半期だけで37キャンペーン・497パッケージが検出された。npmが悪性パッケージの99%超を占め、PyPIが精度重視の第二戦線を形成するという二層構造が定着している。

AI開発者が標的として「効率的」な理由は3つある。第一に、AI/ML開発は他のソフトウェア開発と比較して依存パッケージ数が格段に多い。LiteLLM単体で100以上のLLMプロバイダーを抽象化する広範な依存関係を持ち、PyTorch、TensorFlow、Transformersといったフレームワークはそれぞれ数百の推移的依存関係を引き込む。第二に、AIコーディングエージェントが生成するコードの20%が実在しないパッケージを参照するという調査結果があり、これは「パッケージ幻覚」（Package Hallucination）攻撃として悪用可能である。攻撃者はAIが「幻覚」として生成しがちなパッケージ名を事前に登録しておくことで、開発者がAI生成コードをそのまま実行した際にマルウェアを配布できる。第三に、AI開発環境にはクラウドAPI鍵、GPUクラスタ認証情報、モデル学習データへのアクセス権限など、高価値の認証情報が集中している。

北朝鮮系グループの活動規模はこの構造的脆弱性を明確に数値化している。Googleの脅威インテリジェンスレポートによれば、UNC1069を含む北朝鮮関連グループがnpm、PyPI、Go、Rust、PHPにわたって1,700件以上の悪性パッケージを展開した。Axios侵害で用いられたディープフェイクによるソーシャルエンジニアリングは、国家レベルのリソースがオープンソースメンテナ個人に集中投下される現実を示している。年間数千万ドル規模のサプライチェーン攻撃による収益がこうした投資を正当化しており、オープンソースメンテナの多くがボランティアであるという構造的非対称性が攻撃者に有利に働いている。

2026年5月に発見された事例は、署名検証の限界も浮き彫りにした。Sigstore/npm Provenanceを導入した環境でも、633の悪性npmパッケージバージョンが正規の署名証明書を取得して配布された。侵害されたメンテナアカウントから発行された証明書はSigstoreの検証をすべてパスする──パッケージがCI環境でビルドされたこと、有効な証明書が発行されたことは検証できるが、証明書保持者がアカウント侵害を受けていないことは検証できない。16,000以上のパッケージがProvenance付きで公開されているにもかかわらず、この根本的な限界は解消されていない。AI自律ゼロデイ発見206件の防御設計が示すように、攻撃側の技術革新速度が防御側を上回る構造的ギャップは拡大の一途にある。

署名検証・サンドボックス隔離・依存関係監査の多層防御設計

LiteLLM、Axios、Shai-Hulud CHAINDROPの3事例が示すのは、単一の防御層では現代のサプライチェーン攻撃を阻止できないという事実である。署名検証はアーティファクト改ざんを防ぐが認証情報侵害には対応できず、依存関係スキャンは既知のCVEを検出するが設定ファイル内のペイロードは見逃し、ネットワーク監視はEthereum RPCクエリをブロックチェーン通信として正当化されたトラフィックと区別できない。有効な防御には、これらの限界を相互補完する多層設計が不可欠である。

第1層：パッケージ署名と透明性ログの「消極的信頼」モデル

Sigstore Provenanceの導入は依然として第一歩として有効である。Rekor透明性ログのリアルタイム監視により、メンテナが意図しないリリースイベントを検知できる。ただし、2026年5月の事例が示すように、署名検証は「積極的信頼」ではなく「消極的信頼」──署名がない場合はリジェクトするが、署名があっても安全とは限らない──として位置づけるべきである。追加施策として、npm organizationレベルでの2要素認証（2FA）の強制、パブリッシュ権限の最小化（限られたメンバーのみ）、パブリッシュ時の多要素承認フローの導入が推奨される。

第2層：依存関係の振る舞い分析と行動検知

従来のnpm auditやOSV-ScannerはCVEデータベースベースの脆弱性検出に限定される。Socket（行動分析）やSnyk（到達可能性分析）のような振る舞いベースのツールが2026年の防御スタックに不可欠となっている。Socketはパッケージのネットワークリクエスト、ファイルシステムアクセス、外部コマンド実行を分析し、CVEに登録される前の悪性行動を検出する。推奨スタックは、npm audit（第一ゲート）→ OSV-Scanner（広範なアドバイザリカバレッジ）→ Socket（サプライチェーン保護・行動検知）→ Dependabot/Renovate（自動更新）の多段構成である。

第3層：AIエージェント実行環境のサンドボックス隔離

Shai-Hulud CHAINDROPが突きつけた教訓は、AIエージェントが信頼されていないコードを実行する際の隔離が不十分であるという現実である。2026年2月時点で、Docker/runc等の共有カーネルコンテナ隔離はAIエージェントの非信頼コード実行には不十分というのがコンセンサスである。Firecracker microVM、gVisor、E2Bといった専用サンドボックス技術が推奨される。5つの重要なサンドボックス制御として、ネットワークエグレスのデフォルト拒否、ファイルシステム境界のスコープ制限、プロセス隔離（専用カーネル）、シークレットスコーピング（認証情報をサンドボックス内に持ち込まない）、エフェメラルライフサイクル（明示的にオプトインしない限り状態を永続化しない）が定義されている。

第4層：IDE・AIエージェント設定ファイルの整合性検証

CHAINDROPの攻撃ベクトルに対抗するには、.claude/settings.json、.vscode/tasks.json、.cursor/settings.json等のAI開発ツール設定ファイルに対するgitフック（pre-commit）での整合性検証が必要である。具体的には、設定ファイル内のシェルコマンド実行定義の差分検知、外部URLへの参照の自動フラグ付け、設定ファイル変更の承認フロー義務化が実装すべき施策である。

第5層：SBOM運用とサプライチェーン可視化

2026年7月にCISAが発行した更新ガイダンスは、SBOMの最小要素をオープンソースソフトウェア、AIソフトウェア、SaaSに拡大した。しかし、多くの組織がSBOMを「受け取る」が「運用する」には至っていないという実態がある。SBOMの消費パイプライン──SBOMを意思決定に変換するプロセス──の構築が本質的な課題である。筆者がSOC構築の実務で経験した教訓と同様に、ツールの導入よりもアラートから判断までの人間のプロセス設計こそが防御の成否を分ける。

2026年後半の展望──AI開発サプライチェーン攻撃の次の段階

2026年上半期のトレンドを外挿すると、AI開発者を標的としたサプライチェーン攻撃は今後さらに以下の3方向に進化する可能性が高い。

第一に、AIモデルレジストリへの攻撃面拡大である。Hugging Faceのモデルハブでは既に約500の悪性AIモデルが確認されている。パッケージレジストリ（npm、PyPI）への攻撃手法が成熟するにつれ、攻撃者はモデルレジストリ、データセットリポジトリ、LoRAアダプター配布チャネルといったAI固有のサプライチェーン要素に活動範囲を広げる可能性がある。モデルファイルにシリアライズされた任意コード実行ペイロード（Pickle等）を埋め込む手法は既に知られており、LLMファインチューニング攻撃の産業化で分析されているように、モデル自体への攻撃は次の主戦場となり得る。

第二に、MCP（Model Context Protocol）エコシステムへのサプライチェーン攻撃である。AIエージェントがMCPサーバーを介して外部ツールと連携する構造は、新たなサプライチェーンリスクを生む。悪性MCPサーバーがエージェントの実行コンテキストに侵入することで、エージェントの権限を乗っ取る攻撃が現実化しつつある。CHAINDROPがIDE設定ファイルを標的としたのと同様に、MCPサーバー設定は次の「信頼された盲点」となる可能性がある。

第三に、防御側のAI活用による検知能力の転換点である。悪性パッケージの振る舞い分析にLLMを組み込む試みが始まっている。パッケージのインストールスクリプト、依存関係グラフの異常、メンテナの行動パターン変化をAIが統合的に分析することで、従来のルールベースでは検出困難だった攻撃を早期に発見できる可能性がある。しかし、攻撃側もAIを活用してペイロードの難読化やタイポスクワッティングの自動生成を行っており、防御側のAI導入が自動的に優位をもたらすとは限らない。

AI開発エコシステムのサプライチェーン防御は、個別のツール導入ではなく、署名検証・振る舞い分析・サンドボックス隔離・設定ファイル検証・SBOM運用を統合した多層アーキテクチャとして設計すべき段階にある。攻撃者は既にAI開発者のワークフロー全体──パッケージインストール、CI/CDパイプライン、IDE設定、AIエージェント実行環境──を一つの攻撃面として捉えている。防御側もまた、同じ視座でサプライチェーン全体を一つの防御対象として再定義する必要がある。

FAQ

サプライチェーン攻撃とは何か？なぜAI開発者が標的になるのか？

サプライチェーン攻撃とは、ソフトウェアの依存関係（npmやPyPIのパッケージ等）を侵害し、下流の利用者に悪性コードを配布する攻撃手法である。AI開発者は依存パッケージ数が多く、クラウドAPI鍵やGPU認証情報など高価値の認証情報を扱うため、攻撃者にとって費用対効果の高い標的となっている。

Shai-Hulud CHAINDROPのEthereum C2とは何か？

CHAINDROPワームはEthereumスマートコントラクトにC2ドメインを格納し、eth_call RPCで取得する手法を採用した。ブロックチェーン上のコントラクトはDNSのようにテイクダウンできず、eth_callはトランザクション記録を残さないため、従来のネットワーク監視では検知が困難である。

npm ProvenanceやSigstoreがあれば安全か？

署名検証はアーティファクト改ざんを防ぐが、メンテナアカウント侵害には対応できない。2026年5月には侵害されたアカウントから正規署名付きの633悪性バージョンが配布された。署名検証は多層防御の一要素であり、単独では不十分である。

AIコーディングエージェントの設定ファイルへの攻撃をどう防ぐか？

pre-commitフックで.claude/settings.jsonや.vscode/tasks.json等の設定ファイル変更を差分検知し、シェルコマンド実行定義や外部URL参照を自動フラグ付けする。設定ファイル変更には承認フローを義務化し、gitリポジトリのブランチ保護と組み合わせることが推奨される。

LiteLLMのようなCI/CDパイプライン侵害を防ぐには？

CI/CDパイプラインのシークレット管理を厳格化し、パブリッシュトークンをGitHub Actionsのランナー環境に直接配置しない。OIDC短命トークンの利用、パブリッシュ権限の最小化、外部アクションのピン留め（SHA固定）、Workload Identity Federationの採用が具体的な対策である。

パッケージ幻覚攻撃（Package Hallucination）とは何か？

AIコーディングエージェントが生成するコードの約20%が実在しないパッケージ名を参照する。攻撃者はこの「幻覚」パッケージ名を事前にnpmやPyPIに登録しておき、開発者がAI生成コードを実行した際にマルウェアを配布する手法である。依存関係追加時のレジストリ存在確認と信頼性スコア検証が対策となる。

個人開発者がすぐにできるサプライチェーン防御策は？

npm auditの定期実行、Socketによる振る舞い分析の導入、lockfileの厳密な管理（npm ci使用）、依存パッケージ更新時の差分確認、2FA有効化が最低限の施策である。AI生成コードの依存関係は必ずパッケージレジストリで実在確認してからインストールすべきである。

参考文献