- 攻撃者はAIスキルを複製し、後から認証情報を窃取する悪質なコードを追加
- Zenity Labsが数百万件のインストールと数十種類の危険なスキル亜種を発見
- VercelとMicrosoftは悪質なスキルを削除したが、手動での削除が依然として必要
AIエージェントに特定のタスクの実行方法を教え、その能力を拡張する「AIスキル」が、サプライチェーン攻撃にますます悪用されていることが研究者によって明らかになりました。
Zenity Labsのセキュリティ専門家は、AIエージェント向けスキルの公開レジストリ（いわばアプリストア）であるskills.shにおいて、認証情報を窃取するキャンペーンを発見しました。このレジストリはWebアプリケーション向けクラウドプラットフォームであるVercelが運営しており、脅威アクターは既存のスキルを複製し、タイポスクワッティングによる紛らわしい類似スキルを作成していました。これらのスキルは、当初は悪意ある挙動を一切示していませんでした。
しかし、しばらく時間が経ち、ダウンロード数がある程度積み上がった段階で、攻撃者は悪質なコードを追加しました。このコードは、SSHキー、クラウド認証情報、Gitおよびパッケージマネージャーのトークン、Kubernetes・Dockerの設定情報、データベース認証情報、IaC（Infrastructure as Code）の認証情報、環境ファイル、サービスアカウントファイルなどをAIエージェントに窃取させる内容でした。その後エージェントは、窃取した情報をホストのメタデータとともにパッケージ化し、攻撃者に送信するよう指示されていました。
数十件にのぼる悪質なスキル
Zenity Labsは、この攻撃で正確に何人が被害に遭ったかまでは特定できなかったとしつつも、ある一つのスキル系統だけで累計170万件以上のインストール（ユニークユーザー数ではなく延べ件数）に達したと強調しています。
しかも、これは悪質なスキルが多数存在する中の、わずか一つの系統に過ぎません。研究者らはさらに、悪意ある、あるいは危険な挙動を示すスキルを「数十件」追加で発見したとも述べています。危険と判定されたスキルのうち、ほぼ3分の1（30%）はClaude CodeやOpenClawを悪用し、標的にマルウェアを送り込んでいました。また、Zenityは今後の攻撃に備えて確保されていたとみられる、空の状態のパッケージ名を「数百件」発見したとしています。
今回の調査結果は、サイバー犯罪者がいかに素早く手口を適応させ、新しいテクノロジーの悪用においてどれほど創造性を発揮するかを物語っています。本質的に、このキャンペーンはソフトウェアのサプライチェーン攻撃をAI向けにアレンジしたものと言え、攻撃者が既存の信頼されたパッケージやリポジトリを侵害し、後から悪質なアップデートを配信する従来型の手口と精神的には近いものです。
責任ある開示を受け、VercelとMicrosoftは特定された悪質なスキルを削除しましたが、Zenityは、以前にこれらをインストールしたユーザーは自らシステムから手動で削除しない限り安全ではないと警告しています。
