自己増殖する Mini Shai-Hulud (ミニ シャイフルード)現代のソフトウェア開発において、オープンソース (OSS) の活用は、開発サイクルのスピードアップにも欠かせないものとなっています。一方で、このオープンソースのエコシステムは、攻撃者にとって「狙いやすい」侵入経路になっています。「ソフトウェアサプライチェーン攻撃」が近年増えています。現在の攻撃者は、ひとつの組織や企業を狙うだけでなく、数百万回もダウンロードされる OSS の人気パッケージ、CI/CDインフラを侵害することで、数千もの企業や開発者の環境に一気に侵入するという「効率的」なアプローチを採り始めているか...

ソフトウェア開発において「OSSへの依存度」はどんどん高まっています。また、それに伴って、開発環境や CI/CDパイプラインそのものを標的とした「ソフトウェアサプライチェーン攻撃」も急増しています。開発でよく使われるパッケージを「ひとたび」侵害するだけで「数千～数万もの組織」へ同時にバックドアを展開するような ソフトウェアサプライチェーン攻撃は、「どこかの企業ネットワークに直接侵入する」攻撃よりも、攻撃者にとってある意味「効率的」とも言え、今後ますます増加するものと思われます。本記事では、2026年4月の前半（2026年4月1日から4月中旬）に、世界規模で被害を引き起こした ソフトウ...

脆弱性を見つけると自動でプルリクしてくれる Aikido を試してみたAikido … 漢字で書けば「合気道」。 …ですが、ベルギー 🇧🇪 のプロダクトです。 Aikido とは？ベルギーの会社のプロダクト Aikido Security (アイキドー セキュリティ) は、ソフトウェアの「開発工程」の 全体 を通じて、セキュリティ対策を支援するソリューションです。 これを利用すると、例えば GitHub のコード内に脆弱性が見つかったときに、ブランチで修正コードを「自動」で作成⇒プルリクさせることが可能です！今回、この Aikido Security について軽く試してみま...

Claude流出は“ミス”ではない──AI時代に露呈した設計の問題これは単なる設定ミスではありません。「当たり前の対策が、当たり前に守られない設計」 が露呈したインシデントです。本記事では、事象の整理表層原因と根本原因の分離現実的なガードレール本当に優先すべきリスクを順に解説し、実務に落ちる形で示します。 1. 今回の事象の概要外部攻撃ではなく、自ら公開してしまった事故です。今回の流出は外部からの侵入ではなく、公開プロセス上の不備により発生しました。npmパッケージに不要ファイルが混入し、source mapにより可読なコードが復元可能となり、さらにスト...

※本記事は Aikido Security の許可のもと、 https://www.aikido.dev/blog/axios-npm-compromised-maintainer-hijacked-rat の内容を日本語に翻訳し、読みやすいように整えたものです。原文もご参照ください。 Axios に対するサプライチェーン攻撃HTTPクライアントライブラリ「Axios」のメンテナの「npmアカウント乗っ取り」に端を発する RAT (遠隔操作型トロイの木馬) の展開、ソフトウェアサプライチェーン攻撃が発生しました。以下、現時点における 侵害状況の確認手順、修復手順、対処法などを記載...