【geek-terminalニュース】北朝鮮ハッカー「Sapphire Sleet」がAI開発環境を直撃！Mastra AIを狙ったnpmサプライチェーン攻撃の全貌

【事象の全貌と背景】
2026年6月中旬、Microsoft Threat Intelligenceの公式調査により、急成長中のAI開発エコシステムを根底から揺るがす甚大なサプライチェーン攻撃が発覚しました。標的となったのは、AIエージェントの構築や運用を容易にするオープンソースのTypeScript開発フレームワーク「Mastra」です。Microsoftの徹底的な追跡とフォレンジック調査を通じて、この一連の攻撃活動が北朝鮮の国家支援を受ける高度なサイバー脅威グループ「Sapphire Sleet」（別名：BlueNoroffなど）によって実行されたことが公式に特定・帰属されました。

この攻撃キャンペーンの最大の特徴は、プロンプトインジェクションのような「AIモデル自体の脆弱性」を狙うのではなく、AIを開発するエンジニア自身の「開発環境（ローカルマシンやCI/CDパイプライン）」を直接狙い撃ちにした点にあります。Sapphire Sleetは、過去に金融機関や仮想通貨を標的にしてきた実績を持ちますが、今回のターゲットはAI開発者が保持している「高価値なAPIキー」や「クラウド認証情報」でした。

侵入経路は極めてアナログかつ、開発プロジェクトにおける典型的な「管理の甘さ」を突くものでした。攻撃者は、Mastraプロジェクトのかつてのコントリビューターであり、長期間活動がなかった休眠状態のnpmアカウント「ehindero」の認証情報を窃取し、乗っ取ることに成功しました。この元開発者は実質的にプロジェクトから離脱していたにもかかわらず、Mastraのnpm組織（@mastraスコープ）に対するパッケージ公開権限が有効なままなんと16ヶ月間も放置されていました。攻撃者はこのアイデンティティ管理の不備（アカウント・ハイジーンの欠如）を悪用し、正規の開発者として振る舞いながら140以上のパッケージに悪意ある改ざんを施し、npmレジストリへ直接配信したのです。

【技術的ディープダイブ】
攻撃グループは、Mastraの本体ソースコードに直接マルウェアを埋め込むような、セキュリティ監査で容易に検知される愚策は取りませんでした。彼らが採用したのは、npmの「依存関係（dependencies）」の仕組みと、「ポストインストール・スクリプト（post-install scripts）」の仕様を極限まで悪用した高度な迂回戦術です。

まず彼らは、JavaScript/Node.js環境で広く使われている人気の日時処理ライブラリ「dayjs」を模倣した、「easy-day-js」というタイポスクワッティング（タイポ間違いを狙った偽装）パッケージを作成しました。自動化されたセキュリティスキャンや監視ツールをすり抜けるため、初期段階では無害なクリーンバージョンを公開し、時間を置いてから悪意あるペイロードを組み込んだ武器化（Weaponized）バージョンへ静かに更新するという「段階的配信（Staged Delivery）」の手法を用いました。

乗っ取られたアカウントを介して、Mastraのパッケージ定義ファイルにおける依存関係にこの「easy-day-js」が紐付けられました。その結果、開発者が自身のプロジェクトで「npm install」または「npm update」を実行した瞬間、気づかぬうちにマルウェアが引き込まれる状態が完成しました。

ダウンロードが完了すると、パッケージ内に仕込まれたポストインストール・スクリプト（setup.cjs等）が即座に起動します。このスクリプトは以下の3つのステップを自動実行します。
1. **SSL/TLS証明書検証の無効化**: セキュリティ製品の監視や通信遮断を回避するため、証明書の検証プロセスをプログラムから強制的に無効化します。
2. **C2サーバーへのコールバック**: 攻撃者が管理する外部のコマンド＆コントロール（C2）サーバーへバックグラウンドで接続します。
3. **第2段階ペイロードの投下**: 感染ホストのOS（Windows、macOS、Linux）を判定し、それぞれの環境に最適化されたクロスプラットフォーム型のリモートアクセストロイの木馬（RAT）をダウンロードして実行します。

このRATは、開発者のブラウザに保存されたCookieやパスワード、暗号資産ウォレットの秘密鍵だけでなく、ローカルの `.env` ファイルに記載されがちなOpenAIやAnthropicなどのLLMのAPIキー、AWSやAzureなどのクラウドプロバイダのアクセスキー、環境変数を根こそぎ窃取するように設計されていました。

【コミュニティの生々しい熱量と議論】
このインシデントは、RedditやHacker News、lobste.rsなどの技術者コミュニティで凄まじい反響を呼び、特にプロジェクトの管理体制やnpmのエコシステムそのものに対する怒りと変態的ハックの議論が噴出しています。

最も多くの批判を集めたのは、Mastraプロジェクトのずさんな権限管理です。「元開発者のNPM公開トークンを16ヶ月も有効にしたまま放置するなんて一体どうなっているんだ？これは複雑なゼロデイ攻撃ではなく、単なる怠慢と重大な過失だ」「多額のVC資金を調達した話題のAIフレームワークのくせに、NPMスコープの監査すらしていないなんてSecurity 101（基本中の基本）の欠如だ」といった辛辣な罵倒が相次ぎました。一方で、「成長中のチームでNPMの権限管理を完璧に行うのは悪夢のように難しい」と現場の苦労に一定の理解を示す声もありました。

さらに、議論はnpmの設計仕様である `postinstall` にも波及しています。「単にライブラリをダウンロードしたいだけなのに、なぜ開発者のローカルマシンで任意のコードが自動実行される仕様を放置しているのか」「ローカルやCI/CDで常に `npm install –ignore-scripts` を実行しないのは、環境を使ったロシアンルーレットをしているようなものだ」との批判が殺到。「自分はグローバルで `ignore-scripts` を true に設定し、バイナリビルドが必要なパッケージだけソースを確認して手動で実行している。これだけで不安が激減する」という自衛ハックも共有されましたが、同時に「今のモダンなJSエコシステムはビルドツールがそれに依存しすぎており、Denoのような適切な権限モデルやサンドボックス化が急務だ」という根本的なアーキテクチャの欠陥を指摘する声が多数を占めています。

また、北朝鮮ハッカーの狙いが「AI開発者」にシフトしている点について、「Sapphire Sleetはどこに金があるかを完全に理解している。AIエージェントのフレームワークを触っている開発者は、高価値なLLM APIキーやAWSの認証情報が入った `.env` ファイルを持ち歩いている歩く金脈だ」「奪ったGPT-4のアクセス権を使ってスパムやマルウェアキャンペーンを無料で実行するのが目的だ。国家支援アクターにとって非常にROIが高い」と、その冷徹な経済的合理性に戦慄するコメントも見られました。「140のパッケージをわずか88分で更新したスピードは、認証情報を得た瞬間にトリガーされる全自動化スクリプトが用意されていた証拠だ」と、攻撃の洗練度とスケールにも驚きの声が上がっています。

【今後の展望とエコシステムへの影響】
今回の攻撃は、AI業界全体に「サプライチェーンの堅牢性確保」という極めて重い課題を突きつけました。Mastraのプロジェクト管理チームは既に悪意ある依存関係をレジストリから排除し、クリーンなバージョンを再公開していますが、Microsoftは「2026年6月17日以降に影響のあるパッケージを導入・更新した開発環境は全て侵害されたとみなすべき」と厳しい警告を発しており、環境変数やAPIキー、クラウド認証情報の即時ローテーション（再生成）を強く推奨しています。

今後のパラダイムシフトとして、開発ツールの「デフォルトのセキュリティモデル」が大きく問われることになるでしょう。これまでは「開発スピード」と「利便性」が最優先されてきたnpm等のパッケージ管理エコシステムですが、今回のような国家支援型ハッカーによる自動化された大規模なサプライチェーン攻撃を前に、`postinstall` による無制限のコード実行を許容する時代は終わりを迎えつつあります。

組織レベルでは、最小特権の原則（PoLP）の厳格化、休眠アカウントの即時権限剥奪、MFA（多要素認証）の完全義務化といった「アカウント・ハイジーン」がこれまで以上に厳しく監査されることになります。さらに、開発者のローカル環境そのものをクラウド上のセキュアなコンテナに隔離する動きや、ネットワークレベルでの外向きの異常通信（C2サーバーへの無検証HTTPS接続など）を監視するEDRソリューションの導入が、AIスタートアップにおいても必須のインフラとなっていくでしょう。「AIエージェントを作る開発者自身」が最も脆弱な攻撃ベクターであり、サプライチェーンの防御なくしてAIの安全性は担保できないという現実を、我々は重く受け止める必要があります。