こんな人・場面向けの記事です：AIのコーディングツールや、AIエージェントの「拡張機能・スキル」を、社内で使い始めている、または導入を検討している、情報システム・セキュリティ・開発チームのリーダーの方。
この記事で分かること
- 2026年5月、Claude Codeの利用環境を狙った、悪意のあるnpmパッケージ（＝プログラムの部品）が見つかりました。676回ダウンロードされた後に発覚し、AIツールに特化した供給網（サプライチェーン）攻撃の、最初の記録された例と報じられています[1]
- 別の研究では、AIエージェントの拡張機能「スキル」の説明文を悪用して、悪意のあるスキルを見つけやすくしたり、選ばれやすくしたりできることが、実験で示されました[2]
- AIツールに、外部の部品や拡張機能を追加するときは、通常のソフトウェアと同じように、出所の確認と、権限の制限が必要です（筆者の整理）
用語の整理
- サプライチェーン攻撃：ソフトウェアの部品の配布元や、部品そのものに、不正なものを紛れ込ませて、利用者を狙う攻撃です
- npm：開発者が、プログラムの部品を共有・取得するための、公開の仕組みです
- スキル（Agent Skills）：AIエージェントの機能を追加するための、ファイルのまとまりです。説明のファイルが、いつ、どう使うかを、AIに伝えます[2]
事例：Claude Codeを狙った悪意のあるパッケージ
AI Weeklyの記事（The Hacker Newsの報道が原典）によると、「mouse5212-super-formatter」というnpmパッケージが、Claude Codeの環境から、ファイルを盗んでいることが見つかりました。狙われたのは、Claude Codeが使う「/mnt/user-data」というフォルダで、盗んだ内容は、GitHubのリポジトリに送られていました[1]。
| 項目 | 報じられた内容 |
|---|---|
| ダウンロード数 | 発覚までに676回[1] |
| 時期 | 2026年5月26日に、npmに登場[1] |
| 攻撃の特徴 | AIツールの特定のフォルダを、狙い撃ちにしたもの。一般的な開発者向けの部品を、無差別に狙ったものではない[1] |
| 発覚のきっかけ | 攻撃者が、自分の秘密の認証情報（トークン）を、プログラムの中に埋め込んだまま公開していたため、追跡しやすくなった[1] |
影響を受けた可能性があるのは、期間中にこのパッケージを入れた利用者です。プロジェクトのファイル、APIキー、設定ファイルなどが、攻撃者のリポジトリに送られた可能性があります[1]。
同記事は、まだ分かっていない点も挙げています。盗まれたファイルの種類と量、Anthropicが影響を受けた利用者に通知したかどうか（5月27日時点）、攻撃者の特定は、確認されていません[1]。
研究：スキルの説明文を、悪用できる
arXivの論文（2026年5月12日投稿）は、AIエージェントの拡張機能（スキル）の配布の仕組みで、「説明文」だけを使った攻撃を調べました。実際のスキルと、現実的な登録の仕組みを使っています[2]。
| 段階 | 結果 |
|---|---|
| 発見（探すとき） | 短い文字列の工夫で、悪意のあるスキルが検索で見つかりやすくなり、最大で86%の対戦勝率、上位10位以内の掲載は80%[2] |
| 選択（選ぶとき） | 説明文の書き方だけで、機能が同じ悪意のあるスキルが、平均77.6%の組み合わせで選ばれた[2] |
| 審査（ブロックするとき） | 意味を巧みにぼかす手法で、悪意のあるスキルが、ブロックを免れた割合は36.5%から100%[2] |
論文は、説明のファイルは、単なる説明ではなく、AIが第三者の機能を、見つけ、信頼し、使うことを左右する、動作に関わる文章だと結論づけています[2]。
自社のAIツールの運用に、どう活かすか（筆者の整理）
以下は、事例と研究を、実務の視点で整理した筆者の見解です。報道や論文の提言ではありません。
| 論点 | 整理 |
|---|---|
| AIツールも、攻撃の対象になる | ソフトウェアの部品と同じように、AIツールの拡張機能や周辺の部品も、狙われる |
| 「名前や説明が良さそう」だけで選ばない | 説明文の書き方で、選ばれやすくできるという研究がある |
| 権限を最小限にする | AIツールが読み書きできるフォルダや、使える認証情報を、必要な範囲に絞る |
| 導入は、管理された手順で | 個人が自由に入れるのではなく、承認された部品だけを使う |
具体例：AIツールに、外部の部品を追加するときの確認手順（筆者の整理）
以下は、開発チームのリーダーが、社内の運用を決める場面を想定した、筆者の例です。
- 追加したい部品や拡張機能の、公開元と、公開日・利用者数・更新履歴を確認する
- 新しく公開されたものや、利用者が極端に少ないものは、原則として使わない
- 使う場合は、社内の承認を得たうえで、権限を絞った環境（検証用）で、先に試す
- APIキーや機密のファイルが、AIツールから読める場所にないかを確認する
- 導入した部品の一覧を管理し、問題が報じられたら、すぐに確認できるようにする
保存用チェックリスト：AIツールの拡張機能を入れる前に
- 部品や拡張機能の、公開元と実績を確認したか
- AIツールに読み書きを許すフォルダと、認証情報を、最小限にしているか
- 社内で、使ってよい部品の一覧と、承認の手順があるか
- 検証用の環境で、先に試しているか
- APIキーなどの秘密情報を、ファイルの中に置いていないか
- 問題が報じられたときに、影響の有無を確認できる、部品の管理表があるか
上司・同僚に説明する3行
- 2026年5月、Claude Codeの環境を狙う悪意のあるnpmパッケージが見つかり、発覚までに676回ダウンロードされた[1]
- 研究では、AIエージェントのスキルの説明文を悪用して、悪意のあるスキルを選ばれやすくできることが示された[2]
- AIツールの拡張機能も、承認された部品だけを、権限を絞って使う
よくある質問
Q1. AIが出したリンクを開くと、感染しますか？
本記事の出典では、AIが出したリンクによる感染の事例は、確認できませんでした。一般に、AIの回答にあるリンクやコマンドは、信頼できる公式のものかを確認してから使ってください（筆者の整理）。
Q2. 自社のClaude Codeは、影響を受けていますか？
この事例で影響を受けた可能性があるのは、該当のパッケージを入れた利用者です[1]。心当たりがない場合は、導入した部品の一覧を確認してください。
Q3. スキルを使うのは、やめるべきですか？
論文は、利用をやめるべきだとは述べていません。説明文だけで選ばれやすくできるリスクを示し、選ぶときの注意を促しています[2]。
限界・未確認事項
- 本記事は、AI Weeklyの記事（The Hacker Newsの報道を要約したもの）と、arXivの論文の要旨に基づいています。原典のHacker Newsの記事は、確認していません。
- 事例の被害の全体像（盗まれたファイル、影響を受けた人数）は、確認できた範囲では示されていません。
- 以前の記事にあった、AIが出したリンクや設定ファイルによる感染の事例は、出典を確認できなかったため、本記事では扱っていません。
- 論文の実験は、特定の登録の仕組み（ClawHub）でのものです。他の環境で同じ割合になるかは、分かりません。
- 攻撃の手口や、対策の状況は、日々変わります。最新の情報は、各社の公式の案内で確認してください。
コメント