AIコーディング支援を悪用する「HalluSquatting」、偽リポジトリからコード実行の恐れ

AIコーディング支援ツールが実在しないリポジトリ名やプラグイン名を生成する性質を利用し、攻撃者が同じ名前を先に登録して不正な命令を読み込ませる「HalluSquatting」と呼ばれる攻撃手法が報告されました。外部リソースの取得からコマンド実行までを人の確認なしで行うAIエージェントでは、端末上で攻撃者のコードが実行される可能性があります。

The Hacker News：New HalluSquatting Attack Could Trick AI Coding Assistants Into Installing Botnet Malware

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

外部のリポジトリ、プラグイン、スキルなどを自動的に検索・取得できるAIコーディング支援ツール
取得した外部コンテンツを読み込み、端末上のコマンド実行まで行えるAIエージェント環境
コマンド実行時の確認を省略する自動実行モードや、無人で稼働する開発支援ワークフロー
研究で検証対象となったCursor、Windsurf、GitHub Copilot、Cline、Google Gemini CLI、OpenClaw系の支援ツール
GitHubなどのリポジトリサービスや、第三者が名前を登録できるプラグイン・スキル配布基盤を利用する環境

推奨される対策

AIエージェントが提示したリポジトリ名やパッケージ名を信用せず、公式サイトや信頼できる情報源から実在性と所有者を確認する
外部リソースを取得する前に、検索処理によって正式名称と正規の配布元を確認させる
取得したコンテンツに基づくコマンド実行では、利用者による明示的な承認を必須にする
権限確認を省略するモードや、取得からインストールまでを無人で実行する設定を避ける
AIエージェントが読み込む内容と、実行予定のコマンドを検査する安全機能を有効にする
開発端末ではAIエージェントに付与するファイル、ネットワーク、認証情報、コマンド実行権限を必要最小限に制限する

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

HalluSquatting：AIが繰り返し生成する実在しないリポジトリ名やプラグイン名を攻撃者が先に登録し、AIエージェントを不正な配布元へ誘導する攻撃手法です。
ハルシネーション：生成AIが事実に基づかない名称や情報を、実在するもののように出力する現象です。
間接プロンプトインジェクション：Webページ、ファイル、リポジトリなど、AIが外部から読み込んだコンテンツに不正な命令を埋め込み、AIの動作を乗っ取る手法です。
AIエージェント：利用者の依頼に応じて情報収集、ファイル操作、外部サービスへの接続、コマンド実行などを複数の手順に分けて自律的に行うAIシステムです。
ボットネット：攻撃者の指示を受けて動作する不正プログラムに感染した端末群です。迷惑メール送信やサイバー攻撃などに悪用される可能性があります。
Slopsquatting：AIが生成した実在しないソフトウェアパッケージ名を攻撃者が登録し、利用者に不正なパッケージを導入させる攻撃手法です。過去にnpmパッケージで拡散例が確認されています。

AIが繰り返す「同じ間違い」が攻撃経路になる

HalluSquattingの起点となるのは、AIが実在しない名称をもっともらしく生成するハルシネーションです。利用者がAIコーディング支援ツールに、話題になったばかりのリポジトリやプラグインを取得するよう依頼した場合、対象がモデルの学習データに十分含まれていなければ、AIが名称を推測する可能性があります。攻撃者は同じ依頼を繰り返し、AIがどのような誤った名前を生成するかを調査します。そのうえで、出現頻度の高い偽名をGitHubやプラグインストアなどに先回りして登録し、不正な指示を含むコンテンツを配置します。

その後、別の利用者が同じ人気リソースをAIに取得させた際、AIが正規名称ではなく攻撃者の登録した偽名を選択すると、不正なコンテンツがエージェントへ読み込まれます。研究者の実験では、質問の表現や利用するモデルが異なっていても同じ誤名が生成され、最大でリポジトリ取得要求の85％、スキルのインストール要求では100％に達したケースがあったとされています。ただし、これらは研究で報告された最大値であり、すべてのモデルや要求で同じ割合になることを示すものではありません。重要なのは、AIの誤りが完全にランダムではなく、攻撃者が事前に予測できる場合がある点です。

外部コンテンツの命令が端末上の操作へ変わる仕組み

この攻撃では、偽のリポジトリを取得しただけでプログラムが自動的に実行されるわけではありません。攻撃成立の鍵になるのは、取得したコンテンツ内の命令をAIが正当な指示として受け入れる間接プロンプトインジェクションと、AIエージェントに付与されたコマンド実行機能です。攻撃者はリポジトリやスキルの説明などに、エージェントの判断を乗っ取るための指示を埋め込みます。AIがその内容を読み込むと、利用者から与えられた依頼よりも攻撃者の命令を優先し、内蔵されたターミナル機能を使ってコードを実行する可能性があります。

研究者はCursor、Windsurf、GitHub Copilot、Cline、Google Gemini CLI、OpenClaw系のアシスタントを対象に検証し、それぞれで攻撃者が用意したコードを実行させたと報告しています。実験で使用された処理は安全な代替コードであり、実際のマルウェアは使用されていません。一方で、同じ経路を使ってボットをインストールできれば、OSの種類が異なる複数の端末をボットネットへ組み込む可能性があると研究者は指摘しています。従来のネットワーク脆弱性を突く攻撃とは異なり、AIが読み取るテキストを入口とするため、通信を監視するファイアウォールだけでは攻撃の意図を判別しにくい点にも注意が必要です。

国内組織が見直すべきAIエージェントの権限管理

HalluSquattingには、特定の製品だけを更新すれば解決する単一のCVEは示されていません。問題の中心は、AIエージェントが利用者から明示されていない名称を推測し、その推測結果を検証せずに取得し、さらに端末上の操作まで続けられる設計にあります。そのため、組織はAIツールの導入有無だけでなく、外部コンテンツへのアクセス、コマンド実行、ファイル変更、認証情報の参照といった権限をどこまで許可しているかを確認する必要があります。特に、権限確認を省略する自動実行モードを有効にした開発端末や、夜間に無人で動作するAIエージェントは、取得した内容を人が確認する機会が減るためリスクが高まります。

元記事では、最も効果的な対策として、AIエージェントが外部リソースを取得する前に実際の検索を行い、名称と配布元を確認する仕組みが挙げられています。利用者側でも、AIが提示した名前を事実として扱わず、公式サイト、正規の開発者アカウント、既知のリポジトリURLなどと照合することが重要です。また、コマンド実行前の承認を無効にせず、エージェントが読み込んだ内容や実行予定の処理を検査する安全機能を併用する必要があります。安全機能だけで完全に防げるとは限らないため、AIエージェントを低権限の環境や隔離された開発環境で動かし、侵害された場合の影響範囲を抑える運用も求められます。

参考文献・記事一覧

The Hacker News

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）