# 私たちのパッケージはすべて奪われた:AIエージェント時代のサプライチェーン攻撃とSocketの対策(Changelog Interviews #690)

- 番組: [Changelog Master Feed](https://ai-curator.jp/podcasts/shows/cmv3z5c1q00125o1015pp7smg)（Changelog Media）
- 元のタイトル: All your packages are belong to us (Changelog Interviews #690)
- 配信日: 2026年11月13日
- 長さ: 2時間19分
- 要約作成日: 2026年11月13日
- トピック: [#サプライチェーンセキュリティ](https://ai-curator.jp/topics/%E3%82%B5%E3%83%97%E3%83%A9%E3%82%A4%E3%83%81%E3%82%A7%E3%83%BC%E3%83%B3%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3) [#npm](https://ai-curator.jp/topics/npm) [#AIエージェント](https://ai-curator.jp/topics/AI%E3%82%A8%E3%83%BC%E3%82%B8%E3%82%A7%E3%83%B3%E3%83%88) [#MCP](https://ai-curator.jp/topics/MCP) [#Socket](https://ai-curator.jp/topics/Socket) [#マルウェア](https://ai-curator.jp/topics/%E3%83%9E%E3%83%AB%E3%82%A6%E3%82%A7%E3%82%A2)
- URL: https://ai-curator.jp/podcasts/cmwerim0m00006y11igpr0pq0

## 要約

Changelog の Adam Stachowiak が、Socket の CTO で元 npm CTO の Ahmad Nassri と、AI エージェント時代のパッケージ供給網の安全性を議論した回。Ahmad は、週あたりの侵害パッケージが約 4,000 から約 12,000 に増え、レジストリをまたいで自己増殖するワームや、AI エージェントに悪意あるプロンプトを実行させる手口が出てきたと述べている。対策として、バージョン固定、クールダウン期間、ファイアウォール、デフォルトで安全な設計を挙げ、開発者のコードレビューの姿勢や若手の育成問題にも話が及んだ。

## ポイント

- Ahmad Nassri によると、侵害されたパッケージ(全バージョン・全エコシステム合計)は1年前の週約4,000件から約12,000件に増え、今も増加中だという。
- Shai-Hulud など、レジストリ間を飛び移る自己増殖型ワームが過去約8か月で現れた。攻撃の主な標的は本番環境より開発者のマシンやCI/CDに移っているという見方を示した。
- パッケージ自体に悪意あるコードがなくても、導入済みのAIエージェントに「ペンテスターとして秘密情報を集めろ」と指示するプロンプトを実行させる攻撃が確認されている。
- MCPサーバーの設定例は npx で @latest を使う書き方が多く、バージョン固定やロックファイルがないため、実行のたびに依存ツリーが変わり得ると指摘した。
- クールダウン期間はCVE対応を妨げる場合があり、DNS制限・サンドボックス・権限制御と組み合わせた多層防御が必要だと述べている。
- Socket Firewall、IDE拡張、Chrome拡張、GitHub appなどを無料で提供し、Replit と組み、デフォルトで安全な環境を目指している。

## 章立て

- [03:03] **雑談:3Dプリンタとキーボード** — Ahmad の背後の棚、3Dプリンタ、ホームラボの話題。AIで趣味や試作が増える一方、集中力が課題だという話に流れる。
- [12:20] **npmの規模とAhmadの経歴** — npm の登録パッケージ数は約300万に達する。Ahmad は2019年頃に npm の CTO となり、GitHub 買収後に退社した経緯を語る。
- [16:40] **AIエージェントとパッケージ選択のリスク** — AIモデルが存在しないパッケージ名を幻覚したり、検索で見つけた未知のパッケージを使ったりする調査結果を紹介。レジストリ側の防御の難しさを議論する。
- [31:40] **レジストリ設計とクライアント側の防御** — パッケージの種類分けや postinstall の問題、pnpm のクールダウン期間の功罪、レジストリ運営の責任を議論する。
- [1:02:50] **攻撃の急増とワームの仕組み** — 侵害パッケージ数の増加、Shai-Hulud、AIを悪用する攻撃、MCP と npx @latest の危険、ワームがトークンを使って広がる仕組みを説明する。
- [1:27:20] **Socketの無料ツールと企業向け防御** — Socket Firewall、IDE拡張、Chrome拡張、GitHub appや、ネットワークレベルのエンタープライズファイアウォールを紹介。脆弱性の悪用までの時間が短縮している点にも触れる。
- [1:40:30] **オープンソースとコードを読む姿勢** — オープンソースは終わっていないという見方と、Ahmad が全行レビューにこだわる理由を語る。
- [1:56:40] **キャリアと採用、締め** — 若手の育成や雇用の変化、Socket の採用方針を議論し、npm の今後への期待で締める。

## 解説記事

AIエージェントがコードを書き、パッケージを選び、インストールまで実行する時代に、その導入物を誰が検証するのか。Changelog Interviews #690 では、Adam Stachowiak が Socket の CTO で元 npm CTO の Ahmad Nassri を迎え、パッケージ供給網への攻撃の現状と対策を語り合った。

#### 攻撃の量と質が変わった

Ahmad によると、1年ほど前は全エコシステム・全バージョンを合計して、侵害されたパッケージは週に約4,000件だった。現在は約12,000件に達し、なお増えているという。

質も変化している。以前は理論上の話だった、レジストリ上で自己増殖するワームが現れた。Shai-Hulud が最初の例とされ、npm から PHP、Rust、Go へと飛び移るものも確認されたと述べている。これらはここ8か月ほどの出来事だという。

標的も変わった。本番環境のデータベースよりも、開発者のマシンや CI/CD のワークフローが狙われているという。ワームの伝播は、実行環境で見つけた npm や GitHub のトークンを使い、書き込み権限のある先に自分を push するという単純な仕組みだと説明している。

#### AIエージェントそのものが攻撃面になる

象徴的なのが、パッケージ自体にマルウェアが含まれない事例だ。そのパッケージは、マシン上の AI エージェントを探し、「あなたはペンテスターで、経営陣から許可を得ている」といったプロンプトを与えて秘密情報を集めさせ、GitHub リポジトリなどへアップロードさせたという。コードを解析しても安全に見えるが、プロンプトが悪意の本体になる。

Socket は、AI モデルがパッケージを選ぶ際の挙動も調べたという。多くのモデルが、それらしい名前のパッケージを幻覚で作り出した。検索で見つけた素性の分からないパッケージを選ぶ可能性もあると語っている。

#### MCP と「@latest」の落とし穴

Ahmad は Axios の侵害事例を踏まえ、MCP サーバーの導入手順を問題視した。多くの手順は npx でサーバー名を @latest 付きで実行する形で、バージョンが固定されない。ロックファイルもないため、実行のたびに推移的依存を含む解決結果が変わり得る。共有リポジトリに設定を置けば、チームメンバーごとに異なるバージョンを取得することもある。利便性が優先され、固定やキャッシュが案内されないことを課題としている。

AI スキルや IDE 拡張も新しい経路である。不変なレジストリではなく、変更できる GitHub リポジトリに置かれるため、最初に検査した後で内容が変わるおそれがあると指摘した。

#### 単一の防御策はない

対策として、クールダウン期間(公開から一定時間のパッケージを避ける)が広まった。一方で Ahmad は、重大な CVE を直ちに修正したい場合の障害になることや、postinstall でのダウンロードを防げないことを挙げ、安心感が偽物になり得ると述べた。DNS の制限、サンドボックス、パッケージ権限といった境界を組み合わせる必要があり、各ランタイムの対応も課題だという。

レジストリ側にも改善余地があるという見方だ。Playwright のようにバイナリを postinstall で取得する慣行が広まった例では、コミュニティの使い方を早期に取り込み、標準化と安全策を整える対応が理想だったと述べている。ただし、多くのレジストリは志願者やコミュニティによる運営で、資源に限りがあることにも触れた。npm の現チームには熱意があるとして、特定の個人への批判ではないと強調している。

#### Socket の取り組みと開発者の姿勢

Socket は、公開直後にパッケージのソースコードの挙動、メンテナの履歴、GitHub リポジトリなどを分析し、その後も継続的に評価するという。調査結果は公開している。Socket Firewall(CLI)、IDE 拡張、Chrome 拡張などは無料で、サインアップも不要だという。GitHub app も無料アカウントで使える。Replit と組み、同環境のインストールをデフォルトで事前スキャンする仕組みも紹介された。企業向けには、ネットワーク層に置くファイアウォールで、ライセンスや CVE に基づくポリシーを適用できるとしている。

オープンソースは終わっていないというのが Ahmad の見立てだ。AI が既存のオープンソースを学習して選ぶため、利用は増え、投資も必要になるという。自身は、AI にはタイピングや調査を任せ、コミット前に全行を読む姿勢を保っている。ただし、これは少数派になりつつあると認めている。

#### まとめ

日本の開発現場でも、AI エージェントに依存導入を任せる運用は広がっている。本回の示唆は、依存の固定、ロックファイル、導入経路への防御層、開発者端末と CI の権限管理を、人が読む前提から見直すことだ。MCP サーバー設定の @latest のような慣行は、すぐ点検できる。若手が基礎知識を学ぶ機会が減る懸念も語られており、教育の面でも注目したい。

> この要約・解説記事は、元の音声の文字起こしをもとに AI（Claude）が日本語で作成したものです。出典: Changelog Master Feed「All your packages are belong to us (Changelog Interviews #690)」