攻撃者がAIコーディングアシスタントを乗っ取り、リポジトリ100件にShai-Huludワームを展開

攻撃者がAIコーディングアシスタントを乗っ取り、リポジトリ100件にShai-Huludワームを展開

The Hacker News – Sep 16, 2026

攻撃者があるSaaSプロバイダーのAIコーディングアシスタントセッションを乗っ取り、内部コードリポジトリにShai-Huludワームマルウェアを拡散させていたという。MandiantがAIリスク・レジリエンスレポートの中でケーススタディとして報告した。

乗っ取られたAIアシスタントは、当該SaaSプロバイダーの環境内で信頼されたインタープリターとして動作していた。このアシスタントは、攻撃者によって改ざんされた外部のソフトウェアパッケージをインストールするよう推奨したとされる。この提案が受け入れられると、攻撃者は開発者のアクティブなセッションを悪用し、汚染されたPyPIパッケージを使ってインフォスティーラーをインストール。GitHub OAuthトークンを収集し、およそ100件の内部コードリポジトリで自己伝播型ワームShai-Huludを展開したという。

Shai-Huludは、リポジトリシークレットの窃取および専有プロダクトのソースコードの抽出を自動化。続いて、被害者の公式ネームスペース内のあるパッケージが攻撃者により侵害されたため、この侵害版を別の従業員がプルした際に、二次的な下流への感染が生じることになったとされる。

Mandiantは、この侵害がいつ発生したのかや、攻撃者がどのようにアクティブなAIアシスタントセッションを乗っ取ったのかを明かしていない。一方で、AIを活用した開発においては以下3つの管理策を実施するよう推奨した。

• AIが推奨するサードパーティ製依存関係を、暗号化チェックサムおよび承認済み許可リストと照合して確認する
• 生のAPIキーや有効期間の長いOAuthトークン、またその他の機密情報は、拡張機能から直接アクセスできないようにする
• ワークステーションからのネットワーク送信を制限し、依存関係に関連するすべてのトラフィックを、内部リポジトリを経由するようにルーティングする

スペイン当局、エージェントAIによる個人データ侵害の報告を初めて受領したと発表

SecurityWeek – September 16, 2026

スペインのデータ保護当局（AEPD）が、AIエージェントを通じて実行されたものとみられる初の個人データ侵害の報告を受けたことを公表した。

AEPDによれば、エージェントは被害組織のファイルにおける脆弱性の探索を開始し、不正なログインを成功させたという。システムへアクセスした後は、自律的にアプリケーション内の脆弱性探索を実施し、これを悪用することで個人データの修正およびインボイスへのアクセスが可能になったとされる。

AEPDは、「データ保護の観点で重要なのは、第三者がAIエージェントをツールとして使用し、攻撃の多様なフェーズを連続して成功させたとみられる点」だと指摘した。ただしこの攻撃に関する調査は現在も続いており、AEPDは言葉選びに慎重を期している。

同局は、このインシデントにより、リスク管理における以下4つの改善が必要になるとコメントした。

• AIアシスタンスおよび敵対者エージェントの危険性を、リスク分析の範疇に含めること
• インシデント対応時間を改善すること
• デジタルIDおよび認証情報の重要性を認識し、保護を強化すること
• こうした対策をすべて人間の手にのみ委ねるのではなく、人間による監視は引き続き維持しつつ、これをAI攻撃の迅速さに対応するのに十分なスピードで検知・封じ込め・対応できるAI活用型のメカニズムにより補うこと

今回のAEPDの通知について、CyberVerseのCTOであるSimon Phillips氏は、この侵害に関する詳細やモデルが実際にどのような挙動を取ったかに関する十分な情報がないため注意深く受け止めるべきだとコメント。一方で、「大半のセキュリティ専門家が考慮するであろう3つの可能性」があると指摘した。

• 1つは、あるアクターが、おそらくジェイルブレイクを通じて、モデルの安全対策を意図的に回避する方法を見つけ出し、それによって第三者のシステムに侵入することに成功したという可能性
• 2つ目は、OpenAIやアンソロピック（Anthropic）をはじめとする主要なAI企業が最近実施した性能テストに関連しており、設定が不十分なテスト環境からモデルが脱出し、人間が設定した目標を達成するために自律的なタスクを実行した、もうひとつの事例であるという可能性
• あるペネトレーションテスターが、人気のあるLLMに基づいてモデルを構築し、それによって無許可でこの活動を実行することが可能になったという可能性

AEPDに届いたスペイン組織からのインシデント報告書の内容が真実であれば、上記いずれのシナリオだったとしてもおかしくない。しかしPhillips氏は、①が最も懸念されるシナリオであると指摘。その理由について、「アクターがAIモデルの運用者によって実装されている制御を回避できてしまったことを浮き彫りにするからだ」と述べた。