Supply Chain 攻撃の新形態 — AI推奨パッケージが偽物だった

結論: AI推奨パッケージは「事前検証」しないとサプライチェーン攻撃の入口

2026年、AIが提案した 「実在しない」または「悪意ある」 パッケージをそのままインストールして攻撃を受ける事例が急増しています。AIの hallucination(幻覚)を逆手にとった攻撃者が、AIがよく提案する架空パッケージ名を 悪意あるコードで実在化 させる手口が広まっているのです。

この記事でわかること

• AI推奨パッケージ起因のサプライチェーン攻撃の仕組み
• 典型的な攻撃パターン4種
• 検知ツールと対策方法
• 2026年版の安全な依存管理

新形態のサプライチェーン攻撃

従来のサプライチェーン攻撃は、有名なライブラリを 侵害したり名前を似せる ものでした。2026年に台頭した新形態は次の通り。

Slopsquatting(スロップスクワッティング)

AIが頻繁に幻覚で提案する 存在しないパッケージ名 を、攻撃者が先回りして実在化させ、悪意あるコードを仕込む手法。「AI Hallucination Squatting」とも呼ばれます。

典型例

• AIが「npm install react-utils-pro」と提案
• 実在しないため攻撃者が同名で公開
• 開発者がそのままインストール
• マルウェア感染

典型的な攻撃パターン4種

1. Hallucination Squatting

上記の通り、AI幻覚名を実在化。最も多発するパターン。

2. Typosquatting

lodash → lodahs のようにtypoを狙う古典的手法。AI時代も健在。

3. Dependency Confusion

社内パッケージと同名のものをpublic registryに公開し、ビルド時に混入させる手口。

4. メンテナハイジャック

正規パッケージのメンテナアカウントを乗っ取り、悪意あるバージョンを公開。AIが「最新版を使え」と提案するため拡散が加速します。

検知ツール

必須ツール

• Socket: 新規パッケージのリスクスコアリング
• Snyk: 脆弱性と悪意ある依存検出
• Trivy: 包括的なスキャン
• npm audit / pip-audit: 標準ツール

2026年に登場したAI-aware検知

• SafeDep Vet: AIプロンプト混入時の警告
• OpenSSF Scorecard: メンテナの信頼性指標

対策方法5選

対策1: AI提案パッケージを必ず検証

AIが「npm install xxx」と提案したら、必ずnpm registryで存在確認 + 週間ダウンロード数 + 初回公開日 を確認します。

対策2: lockファイルの厳密化

package-lock.json、poetry.lock、go.sumを必ずコミット。CI/CDで npm ci や poetry install --no-update を使う。

対策3: プライベートレジストリの利用

Nexus、JFrog Artifactoryで 許可リスト方式 のパッケージ取得。社内承認済みパッケージのみ通します。

対策4: 依存ホワイトリスト

新規パッケージ追加時にセキュリティチームのレビュー必須化。renovate.jsonで許可リストを定義。

対策5: 監視と削除

定期的に依存ツリーをスキャンし、最近追加された不審なパッケージを除去。

AIへの指示の工夫

AIに依存追加を提案させる際、次のプロンプトが有効です。

## ルール
- 新規パッケージを提案する場合は必ず週間ダウンロード10万以上のもの
- メジャーバージョン1.0未満のパッケージは提案しない
- 最終更新が1年以上前のパッケージは避ける
- 公式組織または有名メンテナのもののみ
- 提案理由とリスクを併記

事例: 国内企業の被害

2025年Q4、ある国内SaaS企業が AIが推奨したnpmパッケージ をそのまま導入。インストール時にAWS認証情報が外部送信され、本番S3バケットが暗号化 される被害が発生。復旧費用とランサム要求で約8000万円の損失と報道されました。

事後対応

• Socket導入によるリアルタイム監視
• 新規パッケージ追加の二段階承認
• CI/CDでSBOM(Software Bill of Materials)生成義務化
• 四半期に一度の依存棚卸し

SBOMとサプライチェーン透明性

2026年のEU CRA(Cyber Resilience Act)施行により、商用ソフトウェアはSBOM提出が義務化されつつあります。CycloneDX、SPDX形式が標準。

生成ツール

• Syft
• CycloneDX CLI
• Snyk SBOM

2026年版チェックリスト

1. AI推奨パッケージの存在確認を徹底
2. Lock fileをコミットしCIで厳密モード
3. Socket/Snyk/Trivyを必ず導入
4. プライベートレジストリ運用
5. SBOM生成を自動化
6. 四半期で依存棚卸し
7. 従業員にSlopsquatting教育を実施

まとめ

AI推奨パッケージは 新しいサプライチェーン攻撃の入口 として大きな脅威です。Hallucination Squatting、Typosquatting、Dependency Confusion、メンテナハイジャックの4パターンを意識し、検知ツールと運用ガードレールで防衛しましょう。「AIが言ったから安全」は通用しない時代、自分達で守る覚悟が必要です。