暮らしと仕事の「？」を調べてみた｜AIと情報セキュリティ

AIを動かすためのソフトウェアが、攻撃者によって書き換えられていた――。

2026年10月8日、AIエージェントの開発基盤を提供するTensorlakeが、公式ソフトウェアの一部に悪意あるプログラムが混入していたことを公表しました。

問題のプログラムには、認証情報を盗み取る機能だけでなく、盗まれた認証情報を無効化すると、利用者のファイルを削除しようとする仕組みまで組み込まれていました。

今回はAIが自ら判断して暴走した事件ではありません。AIを開発・運用するためのソフトウェアの配布経路が、外部の攻撃者に悪用された事件です。

出典：Tensorlake公式セキュリティ勧告。CVSSは脆弱性の深刻度を示す指標で、実際の被害規模ではありません。

何が起きたのか？

Tensorlakeは、AIエージェントがプログラムを実行するための環境などを提供する企業です。

開発者は同社のSDKと呼ばれるソフトウェア部品を使い、AIを組み込んだシステムを開発できます。

今回、攻撃者はソフトウェアの保守担当者のアカウントを侵害し、開発元のソースコードに悪意ある変更を加えました。そのうえで正規の公開手順を利用し、改ざんしたソフトウェアを配布しました。

対象となったのは、JavaScriptなどの開発環境で使われるnpm版の「tensorlake」バージョン0.5.144と、関連するネイティブパッケージです。

開発元によれば、Python向けのPyPI版、Rust向けのcrates.io版、Tensorlake CLIは今回の影響対象ではありません。

わずか約11分で検知。それでも危険だった理由

公開されていた時間は約1時間42分でした。

しかし、今回のプログラムはインストール時に自動実行される仕組みを利用していました。つまり、開発者がAIエージェントを実際に起動しなくても、不正なコードが動作する可能性があったのです。

何を盗もうとしていたのか？

Tensorlakeの公式勧告とSocketの解析によると、悪意あるプログラムは幅広い認証情報や設定ファイルを収集対象としていました。

• GitHubやnpmの認証情報：ソースコードの管理やソフトウェア公開に使う権限。
• クラウドサービスの認証情報：AWSやGoogle Cloudなどの環境に関する情報。
• 開発環境の機密情報：SSH鍵、環境変数ファイル、各種サービスの認証情報。
• AI開発ツールの設定：Claude Code、Cursorなどの設定や、MCPに関連するファイル。

さらに、盗んだ認証情報を使って、被害者が公開権限を持つ別のソフトウェアにも不正なコードを広げる機能が確認されました。

これは「サプライチェーン攻撃」と呼ばれる手法です。ソフトウェアの供給経路を悪用し、開発者や利用者へ被害を広げようとします。

認証情報を無効化すると、ファイルが消される？

今回の事件で特に異例なのは、盗まれた認証情報を無効化した際に作動する仕組みが組み込まれていたことです。

通常、認証情報の流出が疑われる場合には、該当するトークンを失効させ、新しいものに変更する対応が行われます。

ところが、この悪意あるプログラムには、GitHubの認証トークンが引き続き有効かどうかを監視する仕組みが含まれていました。

開発元の説明では、トークンが無効化されたことを検知すると、利用者のホームディレクトリを削除する処理が作動するよう設計されていました。

この仕組みは、セキュリティ分野で「デッドマンズスイッチ」と呼ばれるものに類似しています。ある条件が満たされなくなると、あらかじめ用意された処理が実行される仕組みです。

なぜ正規のソフトウェアでも防げなかったのか？

今回の改ざん版には、正規の公開手順を経たことを示す証明情報が付いていました。

本来、こうした情報はソフトウェアの出所や公開過程を検証するために役立ちます。

しかし、公開権限を持つアカウントや公開手順そのものが攻撃者に悪用された場合、正規の経路を通ったという事実だけでは、中身の安全性を保証できません。

「公式から配布されているから安全」とは、必ずしも言い切れない。今回の事件は、その難しさを具体的に示しています。

実際の被害はどこまで確認されている？

Tensorlakeは、問題のバージョンが公開されていたことを認める一方、自社のSDK利用状況の監視では、そのバージョンの使用を確認していないと説明しています。

ただし、これは世界中のすべてのインストールや実行がなかったことを証明するものではありません。

現時点で、実際に感染した端末数、盗まれた情報の量、ファイル削除による被害件数は確認できていません。

したがって、今回の事件は「悪意あるソフトウェアの配布と危険な機能が確認された事案」として扱う必要があります。

利用した開発者はどう対応すべきか

Tensorlakeは、対象バージョンをインストールし、不正なコードが実行された可能性のある環境について、侵害されたものとして対応するよう呼びかけています。

1. 該当するバージョンが導入されていないか確認する。
2. 影響を受けた可能性のある端末や実行環境をネットワークから切り離す。
3. GitHubトークンの失効前に、ファイル削除を引き起こす監視プログラムを除去する。
4. 安全な別の端末から認証情報を変更し、不正な操作の有無を調べる。
5. 必要に応じて、信頼できる環境からシステムを再構築する。

私たちの暮らしや仕事に関係するのか？

今回の事件は、一般のAIチャット利用者が直ちに被害を受けるという話ではありません。

ただし、企業がAIエージェントを使って業務を自動化する際には、AIモデルそのものだけでなく、それを動かすソフトウェアや開発環境の安全性も重要になります。

例えば、AIに顧客情報の検索、社内資料の整理、外部サービスとの連携を任せる場合、開発環境に保存された認証情報が悪用されれば、AIの判断とは関係なく情報流出や不正操作につながる可能性があります。

地域の中小企業にとっても、外部の開発会社にAIシステムを委託する際、どのようなソフトウェアを使い、更新やセキュリティ対策をどう管理しているのかを確認することが大切です。

今回の「？」を調べてわかったこと

これまでAIの安全性というと、AIが誤った回答をしたり、指示を無視して想定外の行動を取ったりする問題が注目されてきました。

しかし、今回の事件は異なる問題を示しています。

AIが正しく動作していても、そのAIを支えるソフトウェアが攻撃者に悪用されれば、利用者の情報やシステムが危険にさらされる可能性がある。

AIの安全性を考える際には、モデルの能力や制御だけでなく、開発環境、認証情報、ソフトウェアの配布経路まで含めた対策が必要です。

AIを信頼して仕事を任せるためには、AI自身の振る舞いだけでなく、AIを動かす仕組みを誰が、どのように守っているのかも問われているのではないでしょうか。

参考資料・一次情報

• Tensorlake公式セキュリティ勧告（2026年10月8日）
• Socket Research Team：技術解析（2026年10月8日）
• StepSecurity：独立した技術解析

本記事は2026年10月14日時点で確認できる公開資料をもとに構成しています。悪意あるプログラムに含まれた機能と、実際に確認された被害を区別して記載しています。