#セキュリティ

AIコーディング補助がボットネットの踏み台に｜対策5つ

by Synth
AIコーディング補助がボットネットの踏み台に｜対策5つ

2026年、AIコーディングアシスタント（Claude Code・Cursor・Codex等）を乗っ取ってボットネットの踏み台にする攻撃が相次いで報告されています。HalluSquatting・Agentjacking・MCP汚染の手口を国内外の事例で整理し、開発者が今やるべき対策5つを解説します。

目次

あなたが便利に使っているAIコーディングアシスタント——Claude Code、Cursor、Codex——が、知らないうちに攻撃者の”実行役”にされる。そんな攻撃が2026年に入って相次いで報告されています。

結論から言うと、危険なのは「AIが賢すぎること」ではなく、AIに強い権限（コマンド実行・ファイル操作）を与えたまま、外部からの入力を信じてしまう構造です。この記事では、話題の手口を国内外の事例で整理し、開発者が今日からできる対策5つを、怖がらせずに解説します。情報時点は2026年7月9日です。

まず結論（TL;DR）

  • AIコーディングアシスタントを乗っ取り、ボットネットの踏み台にする攻撃が2026年に複数報告
  • 代表的な手口は3つ：HalluSquatting（偽パッケージ）／Agentjacking（偽エラー報告）／MCP汚染（ツール説明文の毒）
  • Agentjackingの報告では、偽エラー報告による成功率は約85%。実際の認証情報でコマンドが走る
  • 共通する弱点は「エージェントの過剰な権限＋外部入力の無検証」
  • 対策の柱は”最小権限＋人間の承認”。これだけで被害の多くは防げる

1. なぜAIコーディング補助が狙われるのか？

結論：AIエージェントは「読んだ内容を信じて、強い権限で実行する」ため、攻撃者にとって理想的な”手先”になり得るからです。

従来のマルウェアは、まず端末に侵入してから悪さをする必要がありました。ところがAIコーディングアシスタントは、最初からコマンド実行・ファイル書き換え・パッケージインストールといった強力な権限を持っています。しかも、エラーメッセージや外部ドキュメントを読んで自律的に判断します。

ここに落とし穴があります。攻撃者が”AIが読む場所”に悪意ある指示を仕込めば、AIが自分の権限でそれを実行してしまうのです。Microsoftも、汚染されたMCPツールの説明文がAIエージェントにデータを漏らさせうると警告しています（The Hacker News）。

💡 ここが本質 問題は「AIがだまされる」ことより、「だまされたAIが強い権限を持っている」ことです。人間なら怪しむ場面でも、AIは指示を素直に実行してしまう。だから、賢さを上げるより権限を絞るほうが効く——ここが対策の出発点です。

2. 3つの手口を具体的に見る

結論：手口は違えど、狙いは同じ「AIに攻撃者のコードを実行させる」ことです。1つずつ噛み砕きます。

① HalluSquatting（偽パッケージ）

AIは、実在しないライブラリ名を幻覚（ハルシネーション）で提案することがあります。攻撃者はそれを逆手に取り、AIが提案しがちな偽の名前を先回りして登録しておく。AIコーディングアシスタントがその偽パッケージを本物と信じてインストールすると、悪意あるコードが動き出します（The Hacker News）。

実害も出ています。セキュリティ企業Aikidoは、2026年1月に捏造されたnpmパッケージ「react-codeshift」が、AIの書いたインストール手順とともに237のプロジェクトに拡散し、エージェントが毎日インストールを試み続けていたと報告しました。

② Agentjacking（偽エラー報告）

エラー監視サービス（Sentryなど）は、誰でもエラーを送信できる開放的な設計になっています。攻撃者はここにニセのエラー報告を送り込む。AIコーディングエージェントがそれを読んで「直そう」とした瞬間、報告に仕込まれた指示を実行してしまう手口です。

報告では、この偽エラー報告による成功率は約85%とされ、Claude Code・Cursor・Codexなどが実際の認証情報を使って攻撃者のコマンドを走らせたとされています（The Hacker News、Cloud Security Alliance）。

③ MCP汚染（ツール説明文の毒）

MCP（AIエージェントに外部ツールをつなぐ仕組み）では、AIがツールの**説明文（メタデータ）**を読んで使い方を判断します。人間はふだん見ないこの説明文に悪意ある指示を埋め込むのが「ツール汚染」です。ベンチマーク「MCPTox」では、45の実在MCPサーバーと20の主要AIモデルを対象に、最大72.8%の成功率が確認されました。

3. 国内外の事例で見る”進化の速さ”

結論：この1年で、攻撃は「実験」から「実害」へと急速に進みました。時系列で並べると、その加速がはっきり見えます。

散発的な事件に見えますが、並べると一つの流れが浮かびます。

時期事例何が起きたか
2025年9月postmark-mcp正規メールツールを装ったnpmパッケージが、15回の正常リリース後に攻撃者へメールを盗み見。「初の実在する悪意あるMCPサーバー」
2026年1月react-codeshift捏造npmパッケージがAIの手順とともに237プロジェクトに拡散
2026年2月SANDWORM_MODEワーム不正なMCPサーバーを配置し、AWSキーやSSH認証情報を窃取
2026年2月Claude Code CVE-2025-59536設定インジェクションの脆弱性（CVSS 8.7）をCheck Pointが開示
2026年6月Agentjacking偽エラー報告で約85%の成功率、実認証情報でコマンド実行
2026年7月HalluSquatting偽パッケージでAIアシスタントにボットネット用マルウェアを導入

出典: The Hacker News、Cycode: Top AI Security Vulnerabilities 2026

つながっているのは「AIエージェントの信頼構造を突く」という一点です。しかもボットネット化まで進んでいる。Rust製マルウェア「RustDuck」は、乗っ取った端末やサーバーでDDoS用ボットネットを構築し、2026年2月から活動が追跡されています。AIアシスタントがこの”導入経路”にされるのが、今回の新しさです。

なぜ加速したのか。理由はシンプルで、AIエージェントの普及で”強い権限を持つ実行役”が世界中に一気に増えたからです。攻撃者から見れば、標的が桁違いに増えたことになります。

4. 開発者が今やるべき対策5つ

結論：難しい設定は要りません。「権限を絞る」「人間が確認する」の2軸で、以下の5つを押さえれば大半は防げます。

  • ✅ ① 権限を最小限にする：エージェントに与えるコマンド実行・ファイル書き換えの権限を、その作業に必要な分だけに絞る。Claude Codeの権限モードを活用する
  • ✅ ② 重要操作は人間が承認する：パッケージのインストール、外部へのアクセス、破壊的なコマンドは、自動実行せず必ず確認をはさむ
  • ✅ ③ インストール前に実在と正当性を確認：AIが提案したパッケージ名を鵜呑みにせず、公式レジストリで実在・作者・ダウンロード数を確認する（HalluSquatting対策）
  • ✅ ④ 信頼できないMCPサーバー/ツールを接続しない：出所不明のMCPサーバーやツールは追加しない。接続前に提供元を確認する
  • ✅ ⑤ 依存関係とツール定義を定期監査する：使っているパッケージ・MCPツールの説明文を定期的に見直し、不審な変更がないか点検する

⚠️ 特に気をつけて AIエージェントを”フル権限で放置”して長時間動かすのは、今もっとも危険な運用です。自律実行は便利ですが、外部入力を信じて強い権限で動く以上、承認なしの放置は「開けっ放しの金庫」に近い。無人運転を組むなら、権限の最小化と操作ログの確認をセットにしてください。

あなたへの影響

「自分は大企業じゃないから狙われない」——そう思ったなら、それがいちばん危ない考え方です。

① 個人開発・副業でAIツールを使う人へ 標的は組織の規模ではなく「権限を持つエージェントがあるか」です。むしろセキュリティ担当のいない個人環境ほど狙いやすい。まずは対策①②（権限を絞る・重要操作は承認）だけでも今日から始めてください。

② チームでAIコーディングを導入している人へ MCPサーバーやツールの「導入ルール」を決めることが急務です。誰でも自由にツールを追加できる状態は、汚染の入り口になります。承認プロセスと定期監査を仕組み化しましょう。

③ AIをこれから使い始める人へ 怖がって使わない、は答えではありません。車と同じで、危険を知ったうえで正しく運転すればいい。「便利さ＝権限の広さ」ではないと理解し、必要な分だけ権限を渡す。それが、これからのAI時代の基本作法になります。

まとめ

2026年の教訓を一言でまとめるなら、「AIエージェントのいちばんの脆弱性は、モデルの賢さではなく、渡した権限の広さ」です。HalluSquattingもAgentjackingもMCP汚染も、狙いは「AIに攻撃者のコードを実行させる」の一点。だからこそ、対策も「最小権限＋人間の承認」というシンプルな原則に集約されます。

便利さを手放す必要はありません。ただ、金庫の鍵をエージェントに渡すときは、その部屋に何を置いているかだけは、いつも意識しておいてください。

関連記事

参考にしたソース

ーー Synth

ヘッダー画像: Photo by Towfiqu barbhuiya on Pexels

S

Synth

explAInのライター。AIの今をやさしく、忖度なしで。

あなたにおすすめの記事

← 記事一覧に戻る