AIプログラミングアシスタントに潜むサプライチェーンリスク：Claude・CodexがオーナーなしのコードをRエンタープライズネットワークにインストール

AIプログラミングアシスタントはソフトウェア開発の新たな常識になりつつあるが、最新のセキュリティ研究が不安を呼ぶ実態を明らかにした。これらのAIツールが推奨する多くのオープンソースパッケージは実際には「オーナー不在」の状態にあり、個人も組織も責任を負っていない。そこに潜むセキュリティリスクは明白だ。これらのパッケージが悪意ある行為者に乗っ取られれば、何千もの企業ネットワークが攻撃対象になりうる。

227件のコマンドが示す衝撃の発見

Ars Technicaの報道によると、セキュリティ研究者が企業の内部文書をスキャンしたところ、帰属者が存在しないコードパッケージを指す227件のインストールコマンドが発見された。つまりこれらのコードは「孤児ソフトウェア」だ。元の作者はすでにメンテナンスを放棄しているか、所有権を明示したことがないにもかかわらず、企業システムは依然としてこれらを信頼してインストールし続けている。

さらに警戒すべきことに、これらのインストールコマンドは無名のスクリプトから来たものではなく、現在最も普及しているAIプログラミングツール——AnthropicのClaude、GitHubのCopilot/Codex、そして各種大規模言語モデルベースのコーディング支援システム——から生成されたものだ。研究者は、AIモデルが学習時に大量の過去コードリポジトリやチュートリアルを取り込んでおり、その中には廃棄された依存パッケージが多数含まれていると指摘する。モデルはコードを生成する際、パッケージが現在もメンテナンスされているかどうかを判断する能力を持っていない。

「AIプログラミングアシスタントは本質的には確率論的なソフトウェア推薦エンジンだ。学習データ中の一般的なパターンに基づいてコードを生成するのであって、サードパーティライブラリの現在のエコシステム状態をリアルタイムで分析しているわけではない。その結果、かつて人気があったが今や誰もメンテナンスしていないソフトウェアパッケージを繰り返し推薦してしまう。」

サプライチェーン攻撃の新たな温床

オーナー不在コードの脅威は、誰でもこれらのパッケージの所有権を主張しようと試みられる点にある。攻撃者は同名パッケージを登録するか、メンテナンス上の脆弱性を利用して旧バージョンに悪意あるコードを注入するだけで、AIが生成したコードを使用する企業システムにバックドアを広める。この手法はセキュリティ分野で「依存関係コンフュージョン」または「スクワッティングハイジャック」と呼ばれている。

近年、オープンソースエコシステムではメンテナーが関心を失ったことで生じるポイズニング事件が複数発生している。2024年にはセキュリティ企業Checkmarxがeth-accountという悪意あるライブラリを公表した。このライブラリは人気パッケージ名を模倣することでAIモデルを欺き、開発者のプロジェクトに侵入することに成功した。今回発見されたオーナー不在コードの問題はさらに厄介だ。それらは模倣品ではなく、AIが直接参照する「本物」であり、企業のセキュリティチームはこれらのパッケージに対して盲目的な信頼を置いていることが多い。

企業CIOの苦悩：AI効率化とセキュリティをどう両立するか

企業にとって、AIプログラミングアシスタントがもたらす生産性向上は否定できない。しかし今回の研究は改めて証明した。セキュリティガバナンスは必ず同時に追いつかなければならない。専門家は、AI生成コードを利用する際、企業は以下の措置を強制的に実施すべきだと提言する。

第一に、プライベートなソフトウェア部品表（SBOM）を構築し、すべての依存パッケージの出所を監査すること。第二に、セキュリティスキャンツールを使用して「孤児パッケージ」や「オーナー不在リポジトリ」を特定すること。第三に、AIコードレビューの仕組みを確立し、AIが提案するサードパーティ参照を人間が複合確認すること。

より広い視点から見れば、AI產業チェーン全体も反省が必要だ。大規模言語モデルの学習時に、明らかに廃止状態にあるオープンソースプロジェクトを除外すべきではないか？モデル提供者は依存パッケージを推薦する際、メンテナンス状態の注意書きを付加すべきではないか？これらの問いは個々の企業のセキュリティ戦略より緊急性が高い。なぜならそれはソフトウェアサプライチェーン全体の基盤となる信頼に関わるからだ。

編集後記：AI時代の「デジタル遺産」問題

オーナー不在コードの広範な存在は、オープンソースの世界における「デジタル遺産」のジレンマを露わにしている。かつて意気揚々とライブラリを作成した開発者は、すでに転職・離職したり関心を失ったりしているかもしれないが、その作品は今も何千ものAIモデルに繰り返し引用されている。廃墟となった建物と同様に、これらのコードは誰も使わないからといって消えるわけではなく、むしろ危険な潜伏場所となっている。

AIプログラミングアシスタントはこのリスクを増幅させる。極めて高い頻度で、これら誰も管理していない「参照先」を新たな企業ソフトウェアの基盤に書き込んでいくからだ。問わずにはいられない。AIが知識の主要な伝達者になったとき、情報の真正性と安全性を検証する責任も担うべきではないか？現時点では答えはまだ来ていないが、227件のインストールコマンドはすでに警鐘を鳴らしている。

本記事はArs Technicaより編集・翻訳