AIコーディングアシスタントのセッション乗っ取りでワーム感染拡大、社内約100リポジトリに被害

要点

• 米セキュリティ企業Mandiantの報告により、SaaS事業者のAIコーディングアシスタントのセッションを悪用したサイバー攻撃が判明した。

• 攻撃者はAIが推奨した汚染済みPyPIパッケージを通じてマルウェアを侵入させ、社内約100のリポジトリにワーム「Shai-Hulud」を拡散させた。

• 製品のソースコードや各種シークレット情報、GitHub OAuthトークンが窃取されたほか、社内パッケージ汚染による二次感染も発生した。

• MandiantはAI支援開発における対策として、依存関係のチェックサム照合やシークレットの隔離など3つの管理策を推奨している。

• 米セキュリティ企業Mandiant（マンディアント）が2026年9月に公開したレポートにおいて、ソフトウェア・アズ・ア・サービス（SaaS：クラウド経由でソフトウェア機能を提供する形態）事業者を標的とした攻撃事例が明らかになった。攻撃者が開発者の利用するAIコーディングアシスタントのアクティブなセッションを乗っ取り、社内の約100件に及ぶコードリポジトリへマルウェアを拡散させたという。この攻撃により、リポジトリに保管されていたシークレット情報や自社製品のソースコードが窃取されたことが報告されている。

攻撃の手口と社内リポジトリへの拡散経緯

Mandiantの報告によると、攻撃の端緒となったのはAIコーディングアシスタントによる推奨機能だった。開発者が作業中に、攻撃者によってあらかじめ細工（ポイズニング）されていたソフトウェアの推奨を受け入れ、適用したことから被害が始まった。

推奨が受け入れられた後、攻撃者は開発者のアクティブなセッションを悪用し、汚染されたPyPI（Python Package Index：Python向けの公式パッケージ管理リポジトリ）パッケージを通じてインフォスティーラー（情報窃取を目的としたマルウェア）をインストールさせた。さらに、開発者が持つGitHub OAuthトークン（外部サービスと連携するための認証用トークン）も窃取された。

攻撃者は奪った認証情報などを足がかりに、自己増殖機能を持つマルウェアワーム「Shai-Hulud（シャイ・フルード）」を社内ネットワークへ展開した。ワームは約100件の社内コードリポジトリへと拡散し、リポジトリ内に含まれる機密情報（シークレット）や、同社が提供する製品のソースコードを外部へ盗み出した。

加えて、攻撃者は同社の公式名前空間に属する社内パッケージに対しても改ざんを行った。別の従業員がこの侵害されたパッケージを取得したことで、社内で2度目の感染（二次感染）が発生したという。

なお、公開されたケーススタディでは、具体的な侵入の発生時期や、攻撃者がどのような手法でアクティブなコーディングアシスタントセッションを乗っ取ったのかといった詳細については言及されていない。

攻撃者によるAI悪用手法の変化

Mandiantは、サイバー攻撃者が実際の攻撃活動の中でAIを悪用する傾向について以前から警鐘を鳴らしていた。

同社が2026年3月に公開したレポートでは、2025年を通じて攻撃者のAI利用段階が変化したことが指摘されている。当初は主に作業効率化のために生成AIを使うケースが中心だったが、次第に大規模言語モデル（LLM）をマルウェアの内部構造や能動的な攻撃活動そのものへ直接組み込む手法へと移行が進んでいると説明している。

AI支援開発を守るための3つの推奨管理策

今回の侵入事例を受けて、MandiantはAIを活用した開発環境を保護するために、以下の3つの管理策を実施することを推奨している。

• 依存関係のチェックサム検証と許可リスト照合: AIが推奨するサードパーティ製の依存パッケージについて、暗号化チェックサム（ハッシュ値による改ざん検証）や、事前に承認された許可リスト（アローリスト）と照合して安全性を確認する。
• 機密情報の隔離とアクセス制限: 生のAPIキーや長期間有効なOAuthトークンなどのシークレット情報を、開発環境の拡張機能から直接アクセスできない安全な場所に隔離する。
• 内部リポジトリを経由した通信の制御: 外部パッケージなどの依存関係トラフィックを、組織が管理・制御する社内リポジトリ経由に限定する。

開発環境を標的とする「Shai-Hulud」の関連動向

開発ツールや認証情報を狙う「Shai-Hulud」ファミリーの活動は、近年相次いで確認されている。

2026年8月には、ライブラリ「Keyv」に関連したnpmワームが数百個のパッケージを汚染し、コーディング支援ツール「Claude Code」やエディタ「Visual Studio Code」に対するフックを仕掛ける攻撃が報告された。また、その後の分析では、開発者環境、CI/CDツール（継続的インテグレーションやデプロイを自動化する開発ツール）、クラウド設定ファイル、AIツール関連ファイルなど、計469箇所におよぶ保存先から認証情報をスキャンして探索するShai-Huludの亜種も確認されている。

ただしMandiantによると、これらの事例はそれぞれ独立した別個の攻撃キャンペーンであり、現時点で入手可能な証拠からは、今回被害を受けたSaaS事業者への侵入との直接的な関連性は確認されていないとしている。