@SoySoySoyB(D)in株式会社primeNumberAIコーディング時代における、サプライチェーン攻撃に対する防衛術SecurityPyPInpmAIサプライチェーン攻撃0Posted at 2026-03-28 はじめに AIコーディングツール（Claude Code、Codex 等）の普及により、パッケージのインストールはこれまで以上に日常的な操作になった。AIが提案したコードをそのまま実行し、依存パッケージが自動的にインストールされる場面も多い。しかし、パッケージのインストールとはコードの実行であり、そこに悪意あるコードが混入していれば、端末上のクレデンシャル、個人情報、業務データが一瞬で窃取される。2026年2〜3月に実際に起きた連鎖的なサプライチェーン攻撃は、この脅威が現実のものであることを示した。本記事では、この攻撃の実態を踏まえ、開発環境を守るための具体的な対策を整理する。こんな方におすすめパッケージのインストール（npm install / pip install 等）を行う全ての人 AIコーディングツールを使い始めた人も含む予防A〜Dは全開発者向け、予防E〜GはCI/CD運用者・パッケージメンテナ向けわからない箇所があれば有識者に相談しながら進めることスピード優先でまとめたので、変なところがあれば指摘もらえると助かります！何が起きたか 2026年2〜3月、セキュリティスキャナ Trivy のGitHub Actions（CI/CD自動化の仕組み）が侵害され、そこから連鎖的にLLMプロキシ LiteLLM、通信プラットフォーム Telnyx のPyPI（Pythonのパッケージ配布サイト）パッケージにも悪意あるコードが混入した。脅威アクターTeamPCPによる一連の連鎖攻撃。事象侵害経路出典 Trivy再侵害（3/19）窃取済みPAT（個人アクセストークン）でGitHub Actionsにクレデンシャル窃取コードを注入 2026年3月19日の Trivy 再侵害の概要と対応指針 LiteLLM侵害（3/24） PyPIメンテナアカウント乗っ取り。悪性バージョンを直接アップロード 2026年3月24日の LiteLLM 侵害の概要と対応指針 Telnyx侵害（3/27） PyPIメンテナアカウント乗っ取り。C2サーバーからペイロードを取得する方式に進化 2026年3月27日の Telnyx 侵害の概要と対応指針なぜ重要か: 誰もが被害者になりうるパッケージのインストールとはコードの実行であり、実行されたコードはそのユーザーの権限で端末上のあらゆる操作を行える。CI/CDの設定ミスが起点ではあるが、最終的な被害は「悪意あるパッケージをインストールした全員」に及ぶ。 LiteLLMの侵害バージョンは pip install litellm するだけで発火し、ローカルマシン上のクレデンシャルを片端から収集・送信した。Telnyxではさらに手口が進化し、メインのペイロードがC2サーバーから取得したバイナリに隠匿されているため、パッケージの静的解析だけでは影響範囲を特定しにくくなっている。次にどのパッケージが狙われるかは予測できない。npm、PyPI、どのエコシステムでも起こりうる。理論上は端末上の全ファイルが窃取対象になりうる。クレデンシャルだけでなく、個人情報、業務文書、顧客データなども例外ではない。つまり、端末上に存在するものが少ないほど被害は小さくなる。不要なファイルや過去のプロジェクトの残骸を放置しない、業務用途と個人用途で端末を分ける、本番環境のクレデンシャルや機微データを開発端末に置かないといった基本的な管理が、個別の対策以前の前提になる。さらに、開発環境自体をコンテナやクラウドに隔離すれば、ホストマシン上のファイルにそもそもアクセスできない状態を作れる（詳細は本文書後半の「開発環境の隔離による封じ込め」を参照）。窃取対象になったもの LiteLLM/Trivy侵害のペイロードが実際に収集を試みた対象の一覧。「自分のマシンにこれらが平文で置いてあるか？」というチェックリストとして使える。Telnyx侵害ではC2サーバーからバイナリを取得して実行する方式のため、窃取対象の特定が困難（ワーストケースは端末内全データの漏洩を想定すべき）。カテゴリ収集対象のパス・コマンド何が盗まれるか SSH鍵 ~/.ssh/id_rsa, id_ed25519, id_ecdsa, authorized_keys, config 等サーバーへの不正アクセス Git認証 ~/.git-credentials, ~/.gitconfig リポジトリの読み書き、なりすまし AWS ~/.aws/credentials, ~/.aws/config, IMDSv2, Secrets Manager, SSM AWSリソースへのフルアクセス Google Cloud ~/.config/gcloud/ 全体, application_default_credentials.json Google Cloudリソースへのフルアクセス Azure ~/.azure/ 配下全体 Azureリソースへのフルアクセス Kubernetes ~/.kube/config, ServiceAccountトークン, kubectl get secrets --all-namespaces クラスタの完全掌握 Docker ~/.docker/config.json レジストリへのpush権限 .envファイル CWDから6階層まで再帰的に .env* を探索 DB接続文字列、APIキーなど npm ~/.npmrc パッケージ公開権限 DB ~/.pgpass, ~/.my.cnf, Redis設定データベースへの直接アクセス TLS証明書 /etc/ssl/private/*.key, *.pem, *.p12 HTTPS通信の復号・なりすまし暗号通貨 Bitcoin / Ethereum / Solana等のウォレット・鍵ファイル資産の窃取シェル履歴 ~/.bash_history, ~/.zsh_history 過去に入力したパスワード・トークン CI/CD設定 terraform.tfvars, terraform.tfstate, Jenkinsfile インフラのシークレット VPN /etc/wireguard/*.conf VPN接続情報システム /etc/passwd, /etc/shadow, 認証ログアカウント情報加えて、コマンド実行（printenv, env | grep AWS_ 等）やHTTPアクセス（AWS IMDSv2, K8s API）による収集も行われていた。その他、技術的な詳細については、【緊急】月間9500万DLのLiteLLMが乗っ取られた。インストールしただけでSSH鍵・AWS認証・仮想通貨が全部盗まれる Trivyが大変そうなのでメモも参考のこと。どこで守るか: 開発フロー上の予防ポイント個別の対策に入る前に、ローカル開発とCI/CDそれぞれの開発フローのどこに予防ポイントがあるかを示す。ローカル開発フロー予防ポイント何を防ぐか対象者まず何をするか A. クレデンシャルのリスクを最小化する窃取されても被害を最小限にする全開発者有識者に相談し、発行済みのクレデンシャルと権限を棚卸しする B. クレデンシャルを平文で置かない侵害パッケージが実行されても盗めるものがない状態にする全開発者 B-6（MFA/SSO）は今すぐやる。B-1〜B-5は有識者に相談して対応 C. 悪意あるパッケージを入れないそもそも侵害パッケージをインストールしない全開発者 C-1（パッケージ選定）は今日からできる。C-2（レジストリプロキシ）は設定1行 D. シークレットをコミットしないクレデンシャルがリポジトリに混入するのを防ぐ全開発者 gitleaksの導入を有識者と進める CI/CDフロー予防ポイント何を防ぐか対象者 E. ワークフローの安全性を確保 Actionの改竄やインジェクションによる侵害を防ぐ CI/CD運用者 F. ランナー上のシークレットを守る侵害が起きても窃取される情報を最小化し、事後追跡を可能にする CI/CD運用者 G. パッケージ公開を安全にする自分たちが公開するパッケージの侵害を防ぐパッケージメンテナ各予防ポイントの具体的な対策予防A: クレデンシャルのリスクを最小化する（全開発者向け）個別の保管対策よりも前に、クレデンシャルの発行・権限・運用を見直す。短命トークンでも権限が広ければ危険であり、複数の対策を組み合わせて「窃取されても被害が最小限になる状態」を作る。基本的な考え方認証方式の種類: 静的キー（アクセスキー、サービスアカウントキー等）: 文字列をファイルや環境変数に保存して使う。有効期限はサービスや設定により異なるが、長期間有効なものもある。盗まれたらそのまま使える OAuth / SSO: ブラウザでログインすると、アクセストークン（短命、1時間程度）とリフレッシュトークン（長命）が発行される。アクセストークンが期限切れになると、リフレッシュトークンを使って自動的に新しいアクセストークンが取得される。ユーザーが再ログインを求められるのは、リフレッシュトークン自体が期限切れまたは無効化されたとき OIDC / Workload Identity: 実行環境（GitHub Actions、Cloud Run 等）が「自分は何者か」をIDプロバイダに証明し、一時的なトークンを受け取る。キーやパスワードをどこにも保存しない。CI/CD 環境で主に使われる対策の優先順位（上から順に検討する）: 優先度方式仕組み窃取された場合 1 権限を制限するロール/SA借用、スコープ限定トークン（Fine-grained PAT 等）で必要最小限の権限のみ付与被害範囲が付与された権限内に限定される 2 クレデンシャルを発行しない（OIDC / Workload Identity）実行環境が身元を証明し、キーなしで認証する。CI/CD環境向け窃取対象のクレデンシャルが存在しない 3 短命トークン + ログアウト（SSO / OAuth）ブラウザ認証で短命トークンを取得し、使い終わったらログアウトしてリフレッシュトークンを無効化ログイン中は窃取リスクあり。ログアウト後は無効化される 4 長期クレデンシャル + ローテーション静的キーを発行し、定期的に更新。最終手段次回ローテーションまでフルアクセスを許す具体例: CI/CD → クラウド: OIDC / Workload Identity でキーを発行しない（優先順位2）ローカル → クラウド: ロール/SA借用で権限を絞り、OAuth でログイン、使い終わったらログアウト（優先順位1+3の組合せ） A-1. 権限を制限する権限を制限する方法は大きく2つある。いずれも事前の設定が必要。 IAM で権限を絞ったロール/SA を用意し、借用して操作する（事前にロール/SA と IAM ポリシーの設定が必要） # AWS: IAM ロール経由で操作（aws-vault の設定方法は B-1 を参照） aws-vault exec dev -- aws s3 ls # Google Cloud: サービスアカウントの権限を借用してログイン gcloud auth application-default login \ --impersonate-service-account=SA_NAME@PROJECT_ID.iam.gserviceaccount.com トークンやキーの発行時にスコープを限定する（GitHub Fine-grained PAT の権限選択、OAuth のスコープ指定等） A-2. 使い終わったらログアウトする OAuth 認証では、認証ファイルにリフレッシュトークン（長命）が保存される。窃取されるとアクセストークンを再発行し続けられるため、使い終わったらログアウト/revoke で無効化する。現在のログイン状態を確認: # AWS aws configure list # 設定されているプロファイル情報 aws sts get-caller-identity # 現在の認証情報で誰としてアクセスしているか # Google Cloud（認証が2系統ある） gcloud auth list # gcloud コマンド用の認証アカウント一覧 # SDK/Terraform 用の ADC が存在するか（パスが OS で異なる） ls ~/.config/gcloud/application_default_credentials.json # macOS / Linux Test-Path "$env:APPDATA\gcloud\application_default_credentials.json" # Windows (PowerShell) # Azure az account list # 設定されているサブスクリプション一覧 az account show # 現在アクティブなアカウントログアウト: # AWS aws sso logout # SSO の場合 aws-vault clear personal # aws-vault の場合（キャッシュされたセッションを削除） # 静的キー（~/.aws/credentials）の場合はログアウトの仕組みがない → aws-vault への移行を推奨（B-1 参照） # Google Cloud（使っている方を revoke する） gcloud auth application-default revoke # SDK/Terraform 等のアプリケーション用 gcloud auth revoke # gcloud コマンド用 # Azure az logout A-3. 組織向け: トークンの利用元を制限する組織アカウントでは、窃取されたトークンを別の端末から使えないようにアクセスポリシーを設定できる。 AWS: IAM ポリシーの aws:SourceIp 条件で IP アドレスを制限 Google Cloud: Context-Aware Access（BeyondCorp）で管理下デバイスからのみアクセスを許可 Azure: Conditional Access で端末のコンプライアンス状態やアクセス元を検証いずれも Enterprise ライセンスや固定 IP が前提のため、個人アカウントでは利用が難しい。 A-4. ローテーションの原則長期クレデンシャル（優先順位4）を使わざるを得ない場合: 自動ローテーションが可能なものは自動化する（AWS Secrets Manager の自動ローテーション等）ローテーション時は旧クレデンシャルの即時無効化を含む（Trivy再侵害では、ローテーション完了前に攻撃者が新しいトークンを取得した）検証・テスト用に一時的に発行したクレデンシャルは、検証完了後に速やかに削除・無効化するローテーション対象の棚卸し: どのクレデンシャルがどこに保管されているか、一覧化しておく監査ログ（AWS CloudTrail、Google Cloud Audit Logs 等）を有効にし、不審なクレデンシャル発行操作を検知できるようにするこれらの対策を組み合わせても、認証セッションが有効な間（ログイン中）はトークンがキャッシュ上に存在し、窃取のリスクは残る。根本的にローカルから認証情報を排除するには、開発環境の隔離（本文書後半を参照）を検討する。予防B: クレデンシャルを平文で置かない（全開発者向け）侵害パッケージが実行されたとき、ファイルシステム上に平文で存在するクレデンシャルは全て窃取対象になる。原則は「ファイルとして平文で存在するものはコピーできる」。平文ファイルをなくすか、短命にして窃取されても使える時間を限定する。 B-1. クラウドクレデンシャル: 静的キーを排除して短命トークンにする今どうなっているか確認: # macOS / Linux cat ~/.aws/credentials | grep aws_access_key_id ls ~/.config/gcloud/application_default_credentials.json ls ~/.azure/servicePrincipal*.json grep -c "token:" ~/.kube/config # Windows (PowerShell) Select-String -Path "$env:USERPROFILE\.aws\credentials" -Pattern "aws_access_key_id" -ErrorAction SilentlyContinue Test-Path "$env:APPDATA\gcloud\application_default_credentials.json" Test-Path "$env:USERPROFILE\.azure\servicePrincipal*.json" Select-String -Path "$env:USERPROFILE\.kube\config" -Pattern "token:" -ErrorAction SilentlyContinue どうなっていたら危険で、どう直すか: サービス危険な状態安全な状態にする方法 AWS（組織） ~/.aws/credentials にアクセスキーがある aws configure sso でSSO設定 → aws sso login で都度認証（最大12時間）。IAM Identity Center が組織で有効化されている必要がある AWS（個人） ~/.aws/credentials にアクセスキーがある aws-vault でキーを OS キーチェーンに移し、STS 経由で短命トークンを都度発行する方式に切替（後述） Google Cloud application_default_credentials.json にサービスアカウントキーがある gcloud auth application-default login でOAuth認証に切替（1時間）。組織でSAキーダウンロードを禁止するポリシーも設定 Azure サービスプリンシパルのキーファイルがある az login でブラウザ認証に切替。可能ならManaged Identityを利用 Kubernetes ~/.kube/config に有効期限のない静的トークンがある aws eks update-kubeconfig や gcloud container clusters get-credentials で短命トークンを都度取得する方式に切替個人AWSアカウントでの aws-vault 導入手順: 組織の IAM Identity Center が使えない個人アカウントでは、aws-vault でアクセスキーを OS のキーチェーン（macOS Keychain / Windows Credential Manager）に保管し、実行時に STS 経由で短命トークンを発行する方式に切り替える。~/.aws/credentials に平文でキーを置く必要がなくなる。 # インストール brew install aws-vault # macOS winget install aws-vault # Windows # 1. アクセスキーを aws-vault に登録（OS キーチェーンに保管される） aws-vault add personal # 2. 動作確認 aws-vault exec personal -- aws sts get-caller-identity # 3. 動いたら ~/.aws/credentials からアクセスキーを削除 # ファイルが空になるならファイルごと削除してよい以降、AWS コマンドの実行は aws-vault exec personal -- aws <コマンド> で行う。頻繁に使う場合は aws-vault exec personal でサブシェルを開き、その中で通常通り aws コマンドを実行できる。 MFA と組み合わせると、キーチェーンから窃取されても MFA なしでは使えなくなる: # ~/.aws/config [profile personal] mfa_serial = arn:aws:iam::123456789012:mfa/your-user B-2. SSH鍵: ファイルシステムから秘密鍵をなくす今どうなっているか確認: # macOS / Linux ls -la ~/.ssh/id_* # Windows (PowerShell) Get-ChildItem "$env:USERPROFILE\.ssh\id_*" -ErrorAction SilentlyContinue id_rsa, id_ed25519 等のファイルが存在していたら、それはコピー可能な状態。どう直すか: 方法ツール仕組み FIDO2 resident key YubiKey等のセキュリティキー ssh-keygen -t ed25519-sk -O resident で生成。秘密鍵はキー内に保持され、ファイルに存在しない。物理タッチが必要なのでマルウェアが単独で使えないパスワードマネージャ連携 1Password SSH Agent / Secretive SSH Agentプロトコル経由で署名のみ提供。~/.ssh/id_* ファイル自体が不要になる。1Password の場合はデスクトップアプリが必要（CLI のみでは不可） B-3. .env ファイル: シークレットマネージャから実行時に取得する今どうなっているか確認: # macOS / Linux find . -name ".env*" -not -path "*node_modules*" -not -path "*.git*" find ~ -maxdepth 3 -name ".env*" # Windows (PowerShell) Get-ChildItem -Recurse -Filter ".env*" -Exclude "node_modules",".git" -ErrorAction SilentlyContinue Get-ChildItem "$env:USERPROFILE" -Recurse -Depth 3 -Filter ".env*" -ErrorAction SilentlyContinue .env ファイルにシークレットが直書きされていたら危険。平文のシークレットをファイルに置かない方式に切り替える。主な方式は以下の通り。プロジェクトの技術スタックやチーム構成に合わせて選択する。方式仕組み .env ファイル向いているケース direnv + シークレットマネージャ .envrc から op read 等で都度取得不要にできるシェル操作に慣れているチーム dotenvx + 1Password .env を公開鍵暗号で暗号化し、秘密鍵は1Passwordで管理暗号化して保持 .env をリポジトリ管理したいチーム 1Password CLI単体（op run） .env を持たず、vault から環境変数を直接注入不要にできる 1Passwordを全員が使っているチーム sops（暗号化ファイル） AWS KMS / Google Cloud KMS / age 等で .env を暗号化暗号化して保持クラウドKMSを既に運用しているチームなお、環境変数に注入されたシークレットも同一プロセスからは process.env 等で読み取れるため、完全な防御ではない。目的はファイルとして常駐させないことにある。以下、各方式の導入手順。 direnvの導入と使い方（macOS / Linux）: # 1. direnvのインストール brew install direnv # macOS sudo apt install direnv # Ubuntu # 2. シェルにフックを追加（~/.zshrc or ~/.bashrc） eval "$(direnv hook zsh)" # zshの場合 eval "$(direnv hook bash)" # bashの場合 # 3. プロジェクトルートに .envrc を作成 cat > .envrc << 'ENVRC' # 1Passwordから取得する例 export DATABASE_URL=$(op read "op://dev/db/url") export API_KEY=$(op read "op://dev/api/key") # AWS Secrets Managerから取得する例 export SECRET=$(aws secretsmanager get-secret-value --secret-id my-secret --query SecretString --output text) ENVRC # 4. direnvに許可を与える（.envrcを変更するたびに必要） direnv allow # 5. .envrcを.gitignoreに追加（念のため） echo ".envrc" >> .gitignore この方法なら、ディレクトリに cd すると自動的に環境変数がセットされ、離れると解除される。.env ファイルに平文シークレットを書く必要がなくなる。 Windowsでの利用: winget install direnv でインストールできる。macOS / Linux と同じ .envrc ファイルが使える。別のアプローチ: dotenvx による .env ファイル自体の暗号化 direnv は「.env を持たない」アプローチだが、dotenvx は「.env を暗号化したまま保持する」アプローチ。悪意あるパッケージが .env を読み取っても暗号文しか見えない。 # 1. dotenvxのインストール npm install @dotenvx/dotenvx --save-dev # 2. .envを暗号化（公開鍵・秘密鍵ペアが生成される） npx dotenvx encrypt # 3. 秘密鍵（.env.keys内のDOTENV_PRIVATE_KEY）を1Passwordに保管し、.env.keysを削除 # 4. 1Password参照ファイル(.env.op)を作成 echo 'DOTENV_PRIVATE_KEY=op://{vault}/{item}/{field}' > .env.op # 5. 実行時に復号して環境変数を注入 op run --env-file=.env.op -- npx dotenvx run -- node app.js 暗号化後の .env はリポジトリにコミットできるため、.env.example が不要になり、新しい環境変数の追加もコミットでチーム全員に伝搬する。暗号化は公開鍵のみで行えるため、秘密鍵がなくても変数の追加は可能（npx dotenvx set NEW_KEY "value"）。出典: https://dotenvx.com/docs/quickstart/encryption 1Password CLI単体の例: # 1. 1Passwordのvaultに環境変数を登録しておく # 2. テンプレートファイル(.env.template)を作成し、1Password参照を記述 cat > .env.template << 'EOF' DATABASE_URL=op://dev/db/url API_KEY=op://dev/api/key GOOGLE_CLIENT_SECRET=op://dev/google-oauth/client-secret EOF # 3. op run でテンプレート内の op:// 参照を解決し、環境変数として子プロセスに注入 op run --env-file=.env.template -- npm run dev .env ファイルは不要。テンプレートには op:// 参照のみが書かれているため、リポジトリにコミットしても安全。op run は子プロセスにのみ環境変数を注入するため、親シェルには平文のシークレットが残らない。 B-4. Git認証: 平文の ~/.git-credentials をなくす今どうなっているか確認: # macOS / Linux cat ~/.git-credentials git config --global credential.helper # Windows (PowerShell) Get-Content "$env:USERPROFILE\.git-credentials" -ErrorAction SilentlyContinue git config --global credential.helper credential.helper = store になっていたら平文保存。SSH 接続で GitHub を利用している場合（git@github.com: 形式）は HTTPS 認証自体を使わないため、credential.helper の設定は不要。 HTTPS 認証を使っている場合のどう直すか: # GitHub CLIで認証（推奨。全OS共通。~/.git-credentials が不要になる） gh auth login gh auth setup-git # またはcredential-managerでOSキーチェーンに保管 git config --global credential.helper osxkeychain # macOS git config --global credential.helper manager # Windows（Git Credential Manager） git config --global credential.helper secretservice # Linux（GNOME Keyring等） git config --global credential.helper store # ← これはNG（平文保存） B-5. Docker認証: レジストリトークンをキーチェーンに保管今どうなっているか確認: # macOS / Linux cat ~/.docker/config.json | grep -E '"auth"|"identitytoken"' # Windows (PowerShell) Select-String -Path "$env:USERPROFILE\.docker\config.json" -Pattern '"auth"|"identitytoken"' -ErrorAction SilentlyContinue auth フィールドに値が入っていたら平文（Base64）で保存されている。どう直すか: ~/.docker/config.json（Windowsは %USERPROFILE%\.docker\config.json）を編集し、credsStore を設定する。 // macOS { "credsStore": "osxkeychain" } // Windows（Docker Desktop導入済みならデフォルトで設定されている） { "credsStore": "desktop" } // Linux { "credsStore": "secretservice" } # 設定後に再ログイン docker logout docker login B-6. MFA / SSOの徹底日常的に使うサービスでMFA（多要素認証）を有効化する。SSOが利用できる環境ではSSOに統合し、個別のパスワード管理をなくす。今どうなっているか確認: GitHub: Settings > Password and authentication > Two-factor authentication AWS: IAM > Security credentials > Multi-factor authentication (MFA) Google Cloud: Google アカウント > セキュリティ > 2段階認証プロセス Azure: Microsoft アカウント > セキュリティ > 2段階認証組織でSSO（シングルサインオン）が利用できる場合は、各サービスを IdP（Okta、Microsoft Entra ID 等）に統合し、IdP 側で MFA を強制する方が個別に設定するより確実。 B-7. Terraform state: ローカルに平文で置かない terraform.tfstate には Terraform が管理する全リソースの現在の状態が記録されており、DBパスワード、APIキー、秘密鍵などが平文で含まれる。デフォルトではカレントディレクトリにローカルファイルとして保存されるため、悪意あるパッケージから容易に読み取れる。今どうなっているか確認: # ローカルに tfstate が存在するか find . -name "terraform.tfstate*" find ~ -name "terraform.tfstate*" -maxdepth 5 # backend の設定を確認 grep -r 'backend' *.tf backend が未設定、または backend "local" になっていたらローカル保存。どう直すか: 方法仕組みリモートバックエンド S3、GCS、Azure Blob Storage 等にstateを保管。ローカルにファイルが残らない state の暗号化 S3 の場合は encrypt = true でサーバーサイド暗号化。GCS はデフォルトで暗号化されるアクセス制御バックエンドのバケットに最小権限の IAM ポリシーを設定 # GCS バックエンドの例 terraform { backend "gcs" { bucket = "my-terraform-state" prefix = "terraform/state" } } # S3 バックエンドの例 terraform { backend "s3" { bucket = "my-terraform-state" key = "terraform.tfstate" region = "ap-northeast-1" encrypt = true } } 加えて、.gitignore に *.tfstate と *.tfstate.* を追加し、git への混入を防ぐ。terraform.tfvars にシークレットを直書きしている場合も同様に .gitignore に追加し、シークレットは環境変数や -var フラグで渡す。予防C: 悪意あるパッケージを入れない（全開発者向け）予防A・Bで「盗まれても被害を最小限にする」対策を示したが、そもそも悪意あるパッケージをインストールしないことが最善。Telnyx侵害ではパッケージのコード自体は一見無害に見え、実行時にC2サーバーからバイナリを取得して初めて悪意ある挙動が発現する方式が使われた。パッケージの中身を事前にレビューしても防げないケースがあることを前提に対策を考える必要がある。 C-1. パッケージの選定基準パッケージをインストールする前に、そのパッケージが信頼できるかを確認する。Claude Code等のAIツールに提案されたパッケージも同様。確認ポイント: 観点確認方法注意すべき兆候名前レジストリで正確な名前を検索人気パッケージに似た名前（typosquat）。例: reqeusts（requests の誤字）、node-ipc2 メンテナンスレジストリやGitHubで最終更新日・Issue対応状況を確認長期間更新がない、Issueが放置されている利用規模週間ダウンロード数、GitHubスター数を確認極端に少ない場合は代替パッケージを検討公開元公開者・組織を確認個人アカウントから突然公開された、公開者の他のパッケージがない依存関係そのパッケージ自体の依存数を確認依存が多いほどサプライチェーンリスクが増大 postinstallスクリプト npm info scripts で確認インストール時に外部通信やファイル操作を行うスクリプトがある # npm: パッケージの情報を確認 npm info description maintainers dist-tags time.modified # npm: 週間ダウンロード数を確認 npm info --json | jq '.dist-tags, .time.modified' # pip: パッケージの情報を確認 pip show 今回のLiteLLMやTelnyxの事例は既に信頼されたパッケージの侵害であるため、選定基準だけでは防げない。以降のC-2〜C-5で「信頼されたパッケージが侵害された場合」への備えを示す。 C-2. レジストリプロキシ（Takumi Guard）パッケージマネージャとレジストリの間にセキュリティプロキシを配置し、悪意あるパッケージをインストール前にブロックする。無料・登録不要。PyPIエンドポイントでは72時間の検疫期間を設けている。インストール後に危険と判明した場合のフォローアップ通知もあり（メール登録が必要）。 npm / bun / pnpm / yarn（グローバル設定、全プロジェクトに適用）: npm config set registry https://npm.flatt.tech # 確認: verbose ログに https://npm.flatt.tech が表示されればOK（実際にはインストールされない） npm install --dry-run --loglevel verbose some-package pip（グローバル設定）: pip config set global.index-url https://pypi.flatt.tech/simple/ # 確認: 出力に "Looking in indexes: https://pypi.flatt.tech/simple/" が表示されればOK pip install --dry-run requests 設定ファイルの場所: ~/.config/pip/pip.conf（macOS / Linux）、%APPDATA%\pip\pip.ini（Windows） uv（グローバル設定ファイルを直接編集）: 設定ファイルの場所: ~/.config/uv/uv.toml（macOS / Linux）、%APPDATA%\uv\uv.toml（Windows） index-url = "https://pypi.flatt.tech/simple/" # 確認 cat ~/.config/uv/uv.toml # macOS / Linux type "%APPDATA%\uv\uv.toml" # Windows C-3. 検疫期間（minimumReleaseAge / cooldown）新規バージョンの公開直後にインストールしない「検疫期間」を設ける仕組み。パッケージマネージャや依存関係更新ツールにそれぞれ設定がある。どこに設定するか設定方法備考 npm (v11.10.0+) npm config set min-release-age 7 グローバル設定。v11.10.0 未満では未対応のため npm install -g npm@latest で更新 uv (Python) pyproject.toml に exclude-newer = "7 days" プロジェクト単位。グローバルにするなら ~/.config/uv/uv.toml に同様に設定 CI/CD での検疫期間（Renovate、pinact）については予防E を参照。パッケージマネージャ側と CI/CD 側の設定は独立しているため、両方に設定することが推奨されている。 C-4. ロックファイルの厳密利用ロックファイルがあっても npm install や pip install はロックを無視して新しいバージョンを入れることがある。CIでは厳密なインストールコマンドを使う。 # npm: npm install ではなく npm ci # uv: uv sync ではなく uv sync --frozen C-5. 依存関係の棚卸し使っていない依存が多いほど攻撃面が広がる。定期的に不要な依存を削除する。 # npm: 未使用の依存を検出 npx depcheck # Python: 脆弱性のある依存を検出 pip-audit 予防D: シークレットをコミットしない（全開発者向け） .env や鍵ファイルをうっかりコミットしてしまうと、Git履歴に残り続ける。gitleaksを使ってpre-commitフックとCIの両方で多層防御する。 D-1. ツール選定複数のクレデンシャル検出ツールを比較した結果（gitleaks, TruffleHog, detect-secrets, git-secrets, talisman, secretlint, GitGuardian）、以下の理由でgitleaksを推奨する。観点 gitleaks インストール Go製の単一バイナリ。brew install gitleaks で完了検出パターン 150以上のシークレットパターンを標準装備外部通信なし（完全ローカル実行） Git履歴スキャン対応カスタムルール TOML設定で追加可能メンテナンス活発（GitHub Stars 24,000超）学術研究ではrecall 88%（約8件に1件は見逃す可能性）。単一ツールで完璧な検出はできないため、pre-commit（第1層）+ GitHub Push Protection（第1.5層）+ CI（第2層）の多層防御が重要。 D-2. 導入手順 # 1. インストール brew install gitleaks # macOS / Linux (Homebrew) # Windows: winget install Gitleaks または scoop install gitleaks # 2. pre-commitフックとして設定（.pre-commit-config.yaml） cat >> .pre-commit-config.yaml << 'EOF' repos: - repo: https://github.com/gitleaks/gitleaks rev: v8.21.2 hooks: - id: gitleaks EOF # 3. pre-commitフレームワークのインストールとフック有効化 pip install pre-commit pre-commit install # 4. 既存のGit履歴をスキャン（初回のみ） gitleaks detect --source . -v pre-commitフックはプロジェクトごとの設定。グローバルに全リポジトリで有効にするには git config --global core.hooksPath でグローバル hooks ディレクトリを指定する方法があるが、プロジェクトごとの pre-commit フレームワークが無視されるため併用できない。 pre-commitフックは git commit --no-verify でバイパスできるため、CIでもgitleaksを実行する（第2層）。GitHub Push Protectionはサーバーサイドでブロックするためバイパスできない（第1.5層、パブリックリポジトリではデフォルト有効）。 D-3. カスタムルールの追加例 # .gitleaks.toml [[rules]] id = "custom-api-key" description = "Custom API Key" regex = '''(?i)my_service_api_key\s*=\s*['"][a-zA-Z0-9]{32,}['"]''' tags = ["key", "custom"] 予防E: ワークフローの安全性を確保（CI/CD運用者向け）本セクションは「個人的にGitHub Actionsまわりで気をつけていること」がよくまとまっていたため、特に参考にさせていただいた。 Trivy侵害ではImposter Commit（fork経由のcommitを正規のタグに紐づけて、正規のコードに見せかける手法）でGitHub Actionsに悪意あるコードが注入された。タグ参照（@v4等）はこの手法で改竄できるため、変更不可能なcommit SHA（コミットの一意なID）で固定する。 E-1. permissions の明示 permissions: contents: read pull-requests: write GITHUB_TOKEN の権限をジョブレベルで最小限に明示する。ワークフローレベルではなくジョブレベルで設定することで、ジョブごとに必要な権限だけを付与でき、ジョブ追加時にも安全。未設定の場合はデフォルトで広い権限が付与される。Trivy侵害ではPATの repo 権限を悪用してデータを外部に持ち出していた。 E-2. commit SHAへのpin留め # タグ参照（Imposter Commitで改竄可能） - uses: actions/checkout@v4 # commit SHA固定（推奨） - uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1 リポジトリ設定の「Require actions to be pinned to a full-length commit SHA」で強制可能。pinact run -u で既存ワークフローを一括変換できる。 E-3. actions/checkout の persist-credentials: false - uses: actions/checkout@8e8c483db84b4bee98b60c0593521ed34d9990e8 # v6.0.1 with: persist-credentials: false デフォルトでは checkout 後に GITHUB_TOKEN がローカルの git 設定に残り、後続のステップやサブプロセスからアクセスできる。persist-credentials: false でこれを防ぐ。 E-4. ${{ }}

ai colorization

未找到此话题相关的文章

📬 获取AI新闻

按类别浏览

热门话题

未找到此话题相关的文章

📬 获取AI新闻

按类别浏览

热门话题