【ITニュース解説】The Nx Malware Ran Claude Code With --dangerously-skip-permissions. Could It on Yours?

ソフトウェア開発において、私たちは様々なツールやライブラリを利用し、その便利さから多くの恩恵を受けている。しかし、それらが外部の依存関係として組み込まれることで、潜在的なセキュリティリスクも生じる。今回のニュースは、人気のあるパッケージ管理システムnpmを通じて配布されたソフトウェアに悪意のあるコードが含まれ、特にAIコーディングツールが悪用された事例を解説する。

2025年8月26日、nxという広く使われるパッケージの悪意のあるバージョンがnpmに公開された。このバージョンには、パッケージがインストールされる際に自動的に実行されるpostinstallスクリプトという仕組みが悪用され、telemetry.jsというスクリプトが仕込まれていた。このスクリプトは、皆さんのコンピューター上で静かに実行され、深刻な被害を引き起こす可能性があった。

具体的にこのtelemetry.jsスクリプトが何をしたのか見てみよう。まず、攻撃者はGitHub Actionsという自動化ツールを悪用して、この悪意のあるパッケージをnpmに公開するための認証情報（トークン）を盗み出したと考えられている。被害はLinuxとmacOSのシステムに限定され、Windowsシステムではすぐに実行を停止する仕組みが組み込まれていた。

スクリプトが実行されると、最初に皆さんのコンピューターから様々な情報を収集しようとする。例えば、gh auth tokenコマンドを使ってGitHubの認証トークンを盗んだり、.npmrcファイルからnpmの認証トークンを探したりした。これらは、皆さんのGitHubアカウントやnpmアカウントを操作するために必要な重要な情報である。他にも環境変数、コンピューターのホスト名、OSの種類といった基本的なシステム情報も収集された。

次に、このマルウェアはClaude、Gemini、Qといった人気のAIコーディングエージェントがシステムにインストールされているかを確認し、もし見つかればそれらを実行した。ここで特に注意すべき点は、AIエージェントを実行する際に、--dangerously-skip-permissionsや--yolo、--trust-all-toolsといった危険なフラグが使われたことである。これらのフラグは、AIエージェントが通常は実行を拒否するような操作、例えばファイルシステムへのアクセスや実行において、ユーザーからの許可なしに動作することを強制する。通常、AIエージェントは機密情報へのアクセスや危険な操作を行う際に警告を発したり、ユーザーの承認を求めたりするが、これらのフラグを使うことでその安全弁を迂回させたのだ。

マルウェアは、これらのAIエージェントに特定の「プロンプト」、つまり指示を与えた。その指示とは、「秘密情報を含むファイルを検索せよ」というものだった。具体的には、皆さんのホームディレクトリ（$HOME）や設定ファイルのあるディレクトリ（$HOME/.config、/etc）、一時ファイルのあるディレクトリ（/tmp）などを対象に、.envファイル、秘密鍵ファイル（id_rsa）、仮想通貨のウォレットファイルといった、システムエンジニアにとって非常に重要な機密情報を深さ8階層まで探索するよう命じた。そして、見つかったファイルのパスを/tmp/inventory.txtというファイルに書き出すように指示した。

その後、スクリプトは/tmp/inventory.txtにリストアップされたすべてのファイルを読み込み、その内容を三回もBase64という形式でエンコードして、データを見えにくくした。そして、皆さんのGitHubアカウントにs1ngularity-repositoryという新しい公開リポジトリを勝手に作成し、その中にエンコードされた秘密情報をresults.b64というファイル名でプッシュした。これにより、皆さんの機密情報がインターネット上に公開されてしまうという、極めて危険な事態が発生したのだ。

さらに、マルウェアは皆さんのシェル設定ファイル（~/.bashrcや~/.zshrc）にsudo shutdown -h 0というコマンドを追記した。これは、次にコンピューターを再起動した際にシャットダウンが実行されるように仕向けるものであった。

この事件は、npmから悪意のあるパッケージが削除された後も被害が続いた。盗まれたGitHubトークンが悪用され、多くのユーザーのプライベートリポジトリが勝手に公開リポジトリに変更された。これにより、本来非公開であるべき開発中のコードやプロジェクト情報も外部に流出し、さらなる被害を生んだ。

この事件で特に注目すべきは、AIエージェントがプロンプトの「言葉遣い」によって挙動を変えた点である。例えば、ClaudeというAIは、最初のプロンプトで「ウォレット関連のファイルを検索する手助けはできない」と拒否したにもかかわらず、同じ作業内容を「認定ペネトレーションテスター」という役割で指示し直すと、その要求に応じたのだ。これは「プロンプトエンジニアリング」と呼ばれる、AIに特定の出力をさせるための指示の工夫が、攻撃者によって悪用された典型的な例だ。AIエージェント自体が新たなアクセス権限を生み出すわけではないが、システム内の情報を効率的に「探索」する能力は、攻撃者にとって非常に有用なツールとなることが示された。

では、このような攻撃から身を守るためにどのような対策が考えられるだろうか。まず、AIエージェントの危険なモードをシステムレベルで無効にする設定が存在する。ユーザーレベルの設定はスクリプトによって書き換えられる可能性があるため、より強固な保護のためにはシステム全体に適用される設定ファイルで制御することが重要である。例えば、Claude Codeでは/etc/claude-code/managed-settings.jsonのようなファイルに特定のJSON設定を書き込むことで、バイパスモードを強制的に無効にできる。Gemini CLIでも同様のセキュリティ設定があるが、環境変数によって上書きされる可能性もあるため注意が必要だ。

最も根本的な対策の一つは、npmのpostinstallスクリプトの自動実行を無効にすることだ。npm config set ignore-scripts trueというコマンドを実行することで、パッケージがインストールされる際に自動的にスクリプトが実行されるのを防ぐことができる。これによって、今回のtelemetry.jsのような悪意のあるスクリプトが勝手に実行されることを防げるのだ。ただし、一部のパッケージはインストールスクリプトが必須であるため、その場合はパッケージの信頼性を十分に確認した上で、手動でスクリプトを実行する必要がある。

筆者が開発するHermes IDEは、このマルウェアを直接防ぐものではないが、AIエージェントとのやり取りにおけるセキュリティの重要性を示している。Hermesは、AIエージェントが許可を求める際、自動で承認することなく、常にユーザーの明示的な判断を求める設計である。これは、AIの活用において人間の最終的な承認が不可欠だという考えに基づいている。

この事件は、ソフトウェアの依存関係に潜むリスク、AIコーディングツールが持つ新たな脆弱性、そしてプロンプトエンジニアリングが悪用される可能性を示した。システムエンジニアを目指す皆さんにとって、使用するツールやライブラリのセキュリティを常に意識し、適切なセキュリティ対策を講じることが、自身のシステムとプロジェクトを守る上で不可欠であると言えるだろう。