見出し画像

あなたのAIアシスタントが攻撃者の手先になる｜TrapDoor サプライチェーン攻撃 詳細解説

zephel01

公開日: 2026年5月25日
対象: crypto/DeFi/Solana/AI開発者・セキュリティ担当者

はじめに：「信頼しているツール」が武器にされた

`npm install`した覚えのあるパッケージが、あなたのSSHキーとAWSトークンを外部サーバーに送っていたとしたら？

さらに——あなたが毎日使っているAIコーディングアシスタントが、攻撃者の指示に従って「セキュリティスキャン」を実行し、認証情報を抜き出す役割を担わされていたとしたら？

これが、TrapDoorと命名されたサプライチェーン攻撃の実態です。

1. 事件概要

TrapDoorは、npm・PyPI・Crates.io の3大パッケージレジストリを同時に狙ったクロスプラットフォーム型サプライチェーン攻撃です。Socket Securityが2026年5月24日に検知・命名しました。

攻撃者はセキュリティツールや開発補助ライブラリを装ったパッケージ名（`prompt-engineering-toolkit`、`solidity-deploy-guard`、`defi-threat-scanner`、`eth-security-auditor` など）を使い、開発者の信頼を利用しました。

2. 時系列（Timeline）

  • 2026年5月22日 20:20 UTC：最初の悪意パッケージを確認（PyPI `eth-security-auditor@0.1.0`）

  • 5月22〜24日：各レジストリで波状にパッケージ公開。GitHubアカウント `ddjidd564` を使って LangChain などの人気リポジトリへ毒入りPRを提出

  • 5月24日：Socket Security がキャンペーンを検知・TrapDoor と命名

    • 平均検知時間：5分56秒（中央値：5分27秒 / 最速：58秒）

  • 5月24日〜25日：The Hacker News、GBHackers、Cybersecuritynews.com など主要メディアで報道拡大

  • 5月25日現在：一部パッケージは削除済みだが、類似パッケージの出現報告が継続。攻撃は進行中

3. 技術的な攻撃手法

3-1. エコシステム別の実行経路

攻撃者はレジストリごとにマルウェアの侵入口を使い分けています。

インストール・インポートするだけで実行される設計で、利用者が気づく前にデータが盗まれます。

3-2. 窃取対象

  • SSH キー

  • Solana / Sui / Aptos ウォレットキーストア

  • AWS 認証情報

  • GitHub トークン

  • ブラウザのログインデータベース

  • 暗号通貨ウォレット拡張機能のデータ

  • 環境変数・API キー

  • ローカル開発環境の設定ファイル

3-3. 高度な認証情報検証

盗んだ AWS・GitHub トークンに対してAPI コールで有効性を即時検証します。期限切れや低価値なトークンを事前に除外することで、攻撃者は高品質な認証情報だけを効率的に活用できます。これは従来の単純な情報窃取マルウェアより一段階進化した設計です。

3-4. 外部送信の仕組み

盗み出したキーストアは、ハードコードされた鍵 `cargo-build-helper-2026` で XOR 暗号化した上で GitHub Gists に送信されます。GitHub の正規インフラを悪用することで、通信先のブロックを困難にしています。

4. 最大の新機軸：AIアシスタントを「攻撃者の手先」にする手法

TrapDoor で特に注目を集めているのが、AIコーディングアシスタントの設定ファイルを汚染する手法です。

具体的な手順

  1. 攻撃者がプロジェクト内の `.cursorrules` や `CLAUDE.md` にゼロ幅Unicode文字（U+200B など）を埋め込んだ隠し命令を植え付ける

  2. ファイルをテキストエディタで開いても人間には見えない

  3. Cursor や Claude Code（Anthropic の CLI ツール）がそのファイルを読み込み、「セキュリティスキャンを実行して」という隠し指示に従う

  4. AI アシスタントが認証情報を探し出し、攻撃者のサーバーに静かに送信する

AIアシスタントを信頼しきっているがゆえに、確認なしにコマンドを実行してしまうケースが想定されます。

攻撃インフラの全体像

攻撃者の GitHub アカウント（`ddjidd564`）には `AUDIT-MATRIX.md` というファイルが存在し、この作戦を 「Universal AI Agent Extraction Framework」 と自称しています。

記載されているステージは：

  1. Capability Detection（ターゲット環境の能力検出）

  2. Data Extraction（認証情報の抽出）

  3. Self-Replication（自己複製）

  4. Telemetry Reporting（データ送信）

単発の攻撃ではなく、再利用可能な AI 搾取フレームワークとして設計されている点が今後の脅威として深刻です。

5. コミュニティの反応

X（Twitter）

@SocketSecurity の初報が最も影響力を持ち、急速に拡散。開発者・セキュリティコミュニティで高い警戒感が広まりました。パニックではなく「現実的な脅威」として冷静に議論されています。

  • 「AIアシスタントを攻撃面にするのは新次元」

  • 「今後はハードウェアキー必須」

  • Socket の高速検知を評価する声も多数

日本語圏でも @MalwareBibleJP などで整理投稿が出ています。

Reddit

r/cybersecurity・r/programming・r/npm などで技術的な深掘り議論が進行中。

  • 「AI ツールの信頼設定ファイルまで狙われるのは衝撃」

  • 「結局は依存関係の厳格管理しかない」

  • 過去の類似攻撃（Shai-Hulud など）との比較コメント多数

6. 対策

【無料】即時対応（今日やること）

① 依存関係の確認

# npm
npm ls
npm audit

# Python
pip list --outdated
pip-audit  # pip install pip-audit が必要

# Rust
cargo tree  # crypto / AI 関連パッケージを重点確認

② AI 設定ファイルのゼロ幅文字チェック

プロジェクト内の `.cursorrules`・`CLAUDE.md`・`README.md` をターミナルで確認：

# ゼロ幅文字（U+200B, U+200C, U+200D, U+FEFF など）の検出
grep -rP "[\x{200B}\x{200C}\x{200D}\x{FEFF}]" . --include="*.md" --include=".cursorrules"

または VS Code で対象ファイルを開き、「表示できない文字を表示」 を有効にして目視確認。

③ 認証情報のローテーション

対象パッケージをインストールした覚えがある場合は優先的に：

  • SSH キーの再生成

  • GitHub Personal Access Token の失効・再発行

  • AWS アクセスキーのローテーション

  • Solana / Sui / Aptos ウォレットの新規作成・資産移動

【有料】中長期の恒久対策

④ Socket / Snyk の導入

Socket は今回の攻撃を最速58秒で検知しています。CI/CD パイプラインへの組み込みが推奨です。

# Socket CLI のインストール
npm install -g @socketsecurity/cli

# パッケージのリスクスキャン
socket scan npm

⑤ バージョンの完全固定

`package.json` で `^`（キャレット）を使うと、悪意ある新バージョンが自動インストールされるリスクがあります。

// 危険（最新マイナーを自動取得）
"some-package": "^1.2.0"

// 安全（完全固定）
"some-package": "1.2.0"

`npm install --save-exact` を習慣化、または `.npmrc` に `save-exact=true` を設定。

⑥ AIアシスタント使用ポリシーの策定

  • プロジェクト内の設定ファイル（`.cursorrules`、`CLAUDE.md`）はコミット前に必ず差分確認

  • 外部リポジトリをクローンした際は AI アシスタントを起動する前にファイル内容を確認

  • `git diff HEAD` でゼロ幅文字の混入がないかチェック

⑦ 定期的な Credential Scanning

# gitleaks（リポジトリ全体のシークレットスキャン）
gitleaks detect --source .

# trufflehog（履歴を含むスキャン）
trufflehog git file://. --only-verified

⑧ サンドボックス環境での依存インストール

本番環境・開発メイン環境への直接インストール前に、Docker などの隔離環境で動作確認。

FROM node:20-slim
WORKDIR /sandbox
COPY package*.json ./
RUN npm ci
# ここで動作・通信を確認してから本環境に適用

まとめ

TrapDoor が示した本質的な変化は3つです。

  1. 3大レジストリの同時攻撃：npm だけ見ていても防げない

  2. AI アシスタントが攻撃面になった：設定ファイルは「信頼できるもの」ではなくなった

  3. フレームワーク化された攻撃：AUDIT-MATRIX.md が示す通り、再利用・拡張を前提とした設計

5月25日現在、攻撃は継続中です。類似パッケージは削除されても新たに出現しています。今すぐ依存関係の確認と認証情報のローテーションを行ってください。

参考ソース

#セキュリティ #サプライチェーン攻撃 #npm #PyPI #Rust #crypto #DeFi #Solana #AI開発 #Claude #Cursor #開発者向け

いいなと思ったら応援しよう！

zephel01 サーバー代とコーヒー代になります☕ 役に立ったら応援よろしくお願いします！