サプライチェーン攻撃とは | AIエージェントの「配布経路」を狙う手口

意味

サプライチェーンは「供給の連鎖」。ソフトウェアも、一つの製品が無数の部品——ライブラリ、拡張、プラグイン、更新——を外から取り込んでできています。サプライチェーン攻撃は、製品そのものではなく、この取り込み経路のどこかを汚染する手口です。

なぜ効くのか。信頼された経路を通ってくるからです。正面から侵入するには警戒を突破しなければなりませんが、「いつも使っている部品の更新」として届けば、受け取る側は疑いません。信頼そのものを運び屋にする——それがサプライチェーン攻撃の本質です。

AIエージェントでは、どこが「供給元」なのか

コーディングエージェントやAIエージェントは、マーケットプレイスから機能を取り込みます。プラグイン(拡張)、スキル(繰り返し作業の型)、MCP(外部ツールへの接続。解説)。そしてClaude CodeやCodexなど一部の製品は、これらを既定で背景から自動更新します。

つまり、AIエージェントの供給元は三つの層に分かれます。何を取り込むか(登録・審査)、どの版を取り込むか(固定)、いつ取り込むか(自動更新)。攻撃者は、このどれかを狙います。

2026年、セキュリティ研究者がその実例を続けて示しました。削除・改名されたアカウント名や未登録の依存先を取り直して、スキルのリポジトリを乗っ取る(SkillJacking)。期限切れのドメインを登録し直してMCPを乗っ取る(MCPJacking)。そして、固定したコミットの確認漏れを突いて、固定表示のまま別のコードを入れる(Plugin4Shell。詳細)。三つ目は、Claude Code・Codex・GitHub Copilot・Gemini CLIの4製品に共通していました。

「固定した」と「固定どおりに入った」は別

ここが、この用語のいちばん実務的なところです。サプライチェーンの守り方として、業界が採ってきた答えは「審査して、固定する」でした。コードを一度読み、そのコミットに固定(SHAピン留め)し、以後はその版しか入らない、と。

Plugin4Shellが示したのは、固定は「書く」だけでは保証にならないということです。固定した、と記録しても、取り込む側が「本当にその版に着地したか」を確かめていなければ、記録と中身はずれうる。研究者が示した修正は一行——取り込んだあとに、実際に入った版を解決して、固定値と一致しなければ止める。要求した版ではなく、着地した版を見る。

当サイトはこの数週間、宣言と挙動は別、と書いてきました。行動規範に書いたことと、モデルが実際にすること(詳細)。要約に書かれたことと、モデルが実際に指示したこと(詳細)。サプライチェーンでも同じです。「固定した」は宣言で、「固定どおりに入った」は挙動。確かめるのは、後者です。

実務では、どう効くか

社内でAIエージェントにプラグインやスキルを配っているなら、三つの層それぞれに、一つずつ確認点があります。

何を取り込むか。マーケットの登録と審査は入口の対策で、必要です。ただし、審査を通った後に元が書き換えられる前提で考える。

どの版を取り込むか。固定するだけでなく、入った版が固定と一致するかを、入った側で確かめる。エージェントの版数が、その確認を実装した版か(たとえばClaude Codeなら2.1.179以上、Codexなら0.146.0以上、と研究者は書いています)。

いつ取り込むか。自動更新が既定なら、「利用者が何もしなくても入れ替わる」経路があるということです。重要な環境では、更新を止めるか、更新のたびに記録を残す。取り返しのつかない用途ほど、ここを絞る(権限設計のガイド)。

そして、供給元の側も見ておく。削除・改名されたアカウント、期限切れのドメイン、未登録のままの依存先——乗っ取られる供給元は、たいてい「もう誰も見ていない」場所です。使っているプラグインの元が、まだ生きているか。年に一度でも、確かめる価値があります。

関連する用語とレビュー

ツールポイズニングとは / プロンプトインジェクションとは / MCPとは / Claude Codeとは / サンドボックスとは / Plugin4Shell(レビュー) / AIエージェントの権限設計 / AI用語解説トップ