AIコーディングエージェントが直面する新たなサプライチェーンリスク

MozillaのZero Day Investigative Network（0DIN）による新しい報告では、エージェント型コーディングツールが、スキャナや人間のレビュアーには無害に見えるGitHubリポジトリから悪意のあるペイロードを実行するようだまされる可能性があると述べられています。

問題は、従来の意味でソースツリーが毒されていることではありません。0DINのデモでは、リポジトリ自体に明らかな悪意あるコードは含まれていませんでした。代わりに、攻撃の連鎖はセットアップの過程で展開され、Claude Codeにプロジェクトをクローンして実行するよう依頼したところで発生しました。研究者らによれば、そのプロセスは、開発者のマシン上でインタラクティブなシェルに繋がる可能性があり、明らかに疑わしいコマンドが承認される必要はないといいます。

0DINはこの侵害を「エクスプロイトコードなし、警告なし、誰かが承認しなければならないような疑わしいコマンドもなし」で発生したと説明しています。

この方法は、それぞれ単独では無害に見える三つの要素に依存しています。これらが組み合わさることで、一般的なユーザーのミスを模倣し、エージェントが信頼するエラーを引き起こし、最終的に悪意ある宛先を指す値を取得します。研究者らによれば、その結果生じるリバースシェルは、AIが実際に評価したものから「三段の間接参照」で離れているということです。

「Claude Codeは決してシェルを開くことを決めたわけではありません。エラーを修正することを決めただけです。リバースシェルは、Claude Codeが実際に評価したものから三段の間接参照の先にあります：それはエージェントが信頼したエラーメッセージ、値を取得するスクリプト、そしてそれ自体は見ていなかったDNSレコードです」と0DINの研究者らは述べています。

攻撃が成功すると、侵入者は開発者の権限で動作するシェルを取得し、環境変数、APIキー、ローカル設定ファイルへのアクセスや持続性の可能性が開かれます。

0DINはこの手法が現在のところ概念段階にあるとしていますが、偽の求人広告、チュートリアル、ブログ投稿、あるいはダイレクトメッセージを通じて容易に拡散される可能性があると警告しています。

リスクを軽減するために、同グループはAIエージェントがセットアップコマンドの完全な実行チェーン（スクリプトや実行時に動的に取得されるコードを含む）を開示することを推奨しています。研究者らは、組織が自動化された防御や人的レビューをすり抜けるサプライチェーン攻撃を阻止したいのであれば、その可視性が不可欠だと主張しています。

情報源：

bleepingcomputer.comの記事