PaPoo
日本語 / English
cover
technews
Author
technews
世界の技術ニュースをリアルタイムでキャッチし、日本語でわかりやすく発信。AI・半導体・スタートアップから規制動向まで、グローバルテックシーンの「今」をお届けします。
#npm#security#javascript#opensource

npmの“サプライズ汚染”に要注意。Red Hat系パッケージで悪意あるリリースが検出された話

キーポイント

何が起きたのか

GitHub の issue #492 では、@redhat-cloud-services/ スコープに属する複数の npm package で、​malicious npm releases​（悪意ある npm リリース）が検出されたと報告されています。

npm package というのは、JavaScript の世界でよく使う「再利用可能な部品」です。たとえば、UI のコンポーネント、API クライアント、設定関連のユーティリティなどを個別の package として配布できます。便利な反面、ひとつでも汚染されると、その package を使っているプロジェクト全体に影響が出ることがあります。

今回の件で印象的なのは、単発の package ではなく、​かなり広い範囲で複数の package が並んで挙がっていることです。これは「1つの依存関係がやられた」ではなく、​サプライチェーン全体に触れるタイプの事故として見るべきだと思います。

影響を受けた package

issue に掲載されていた対象は、たとえば次のようなものです。

ほかにも、eslint-config-redhat-cloud-services や types、tsc-transform-imports など、開発支援系の package まで含まれています。

こういう一覧を見ると、正直ちょっとゾッとします。アプリの見た目を作る package もあれば、API と通信する client package もあり、開発時に使うツール系まである。つまり、​本番コードだけでなく、開発環境にも入り込みうるわけです。これはかなり嫌なパターンです。

どういう危険があるのか

悪意ある npm release が怖いのは、単に「壊れた package が出た」では済まないところです。

たとえば、次のようなリスクが考えられます。

image_0002.png

もちろん、今回の issue 本文だけから「実際に何が実行されたか」まで断定はできません。ですが、StepSecurity の告知リンクが参照されていることから、​少なくともセキュリティ上の重大な懸念として扱うべき事案なのは間違いないです。

個人的には、こういう話は「自分は Red Hat 系 package を使っていないから関係ない」で終わらせないほうがいいと思います。npm の世界では、似た構造の事故がどの scope でも起こりうるからです。今日は Red Hat 系、明日は別の maintainer、というのは十分ありえます。

一般の開発者は何を気にすべきか

技術に詳しくない人向けに、ざっくり言うとこうです。

もし依存 package が汚染されると、自分で書いたコードが安全でも、部品の中に入った悪意ある処理によって危険が生じます。
だから「コードレビュー」だけでなく、「使っている部品そのものの安全性」も見ないといけません。

この点で、npm のサプライチェーン攻撃は本当に厄介です。コードの品質問題というより、​信頼していた流通経路が壊れる問題だからです。しかも、見た目は普通にアップデートできてしまう。便利さと危険が表裏一体なんですよね。

実務でやっておきたいこと

今回のような件を受けて、現場では次のような対応が大事だと思います。

  1. 依存 package の version を確認する

    • 影響を受けた version が入っていないか確認します。

  2. lockfile を見直す

    • package-lock.json や yarn.lock に、問題のある version が固定されていないか確認します。

  3. セキュリティ情報を追う

    • StepSecurity のようなフィードや、npm / GitHub のアラートを監視します。

image_0003.png

  1. 不要な dependency を減らす

    • 依存が少ないほど、攻撃面も小さくなります。地味ですがかなり効きます。

  2. CI/CD の権限を絞る

    • 万が一侵入されても被害を最小化しやすくなります。

このへんは地味ですが、かなり現実的です。サプライチェーンの話は派手な対策より、​普段の運用をどれだけ堅くしているかが勝負だと思います。

今回の issue で注目すべき点

この issue 自体は、Red Hat Insights の javascript-clients リポジトリで立てられたセキュリティ報告です。つまり、単なる雑談ではなく、​コミュニティや利用者に対して「注意してね」と伝える場になっています。

また、本文で StepSecurity のブログと OSS security feed が参照されているのも重要です。こうした外部情報を起点に、影響範囲を広く確認しているわけですね。実際、こういう一次情報だけでは全体像が見えにくいので、外部のセキュリティ観測データをつなげるのはかなり有効だと思います。

まとめ

今回の件は、npm エコシステムの便利さと危うさを同時に見せる、かなり典型的で、しかも嫌なタイプのセキュリティ事件です。

「自分のコードは安全」でも、依存 package がやられれば話は別。
しかも今回は対象範囲が広く、開発用・実行用の両方にまたがっている可能性があるため、影響の見積もりも簡単ではありません。

個人的には、こういうニュースを見るたびに、​依存関係は“借り物”ではなく“預かり物”として扱うべきだと感じます。便利だからこそ、疑う目が必要なんですよね。

参考: [SECURITY]: Malicious npm releases detected across @redhat-cloud-services/ scope · Issue #492 · RedHatInsights/javascript-clients

X に投稿 BlueSky に投稿
同じ著者の記事
AIで仕事はどう変わる？ ADP主任エコノミストが語る「ホワイトカラーの終わり」と「知識労働の拡散」
AIで仕事はどう変わる？ ADP主任エコノミストが語る「ホワイトカラーの終わり」と「知識労働の拡散」
ADPの主任エコノミスト、Nela Richardsonは、AIが仕事をどう変えているかを大量の給与・求人データから分析している 彼女の結論は3つ: ホワイトカラー仕事は縮小する、知識労働はむしろ広がる、企業はまだ「変える理由」をちゃんと決めきれていない 重要なのは「職種」ではなく「実際のタスク（作業の中身）」を見ること AIは仕事を一気に消すというより、ルーティン作業を削り、残る部分をより高度な仕事に変えていく可能性が高い ただし、企業が目的を曖昧なままAIを導入すると、現場の混乱はかなり大きくなりそうだ Fortuneの記事は、ADPのチーフエコノミストである Nela Richardson の考えを軸に、AIが白領労働（ホワイトカラーの仕事）をどう変えるか を解説しています。 ここで面白いのは、彼女が「AIは仕事を奪うか？」というよくある議論を、少し違う角度から見ていることです。 普通は「営業職がなくなる」「事務職が減る」といった職種ベースで語られがちですが、Richardsonは 職種ではなく“タスク”の単位 で仕事を見ています。
papoo.work
Microsoftと“ご立腹の0-day研究者”が泥沼化、Windows脆弱性公開をめぐる攻防
Microsoftと“ご立腹の0-day研究者”が泥沼化、Windows脆弱性公開をめぐる攻防
Microsoftと、Nightmare Eclipse（別名 Chaotic Eclipse）と名乗る研究者の対立が激化している 研究者はこれまでに 6件のWindows 0-day を公開し、うち 3件は実際に攻撃で悪用 されている Microsoftは「正式な手順で報告されていない」と主張し、法的対応を示唆した 研究者側は、Microsoftに連絡を無視され、アカウント削除や報酬なしの扱いを受けたと反発している 次の“公開予告”として 7月14日 が示されており、事態はさらに悪化する可能性がある この騒動は、脆弱性報告のルール作りがいかに難しいかを改めて見せつけている 今回の話は、かなり人間くさいです。 単なる「脆弱性が見つかった」「パッチが出た」という技術ニュースではなく、研究者とMicrosoftの関係が完全にこじれた結果、0-day公開合戦みたいな状態になっている、というのが本質です。 記事によると、Nightmare Eclipse（Chaotic Eclipseとも呼ばれる）は、Windowsの深い知識を持つ一方で、Microsoftに強
papoo.work
MetaがInstagram・Facebook・WhatsAppの有料サブスクを本格展開　さらにAI向けプランも準備中
MetaがInstagram・Facebook・WhatsAppの有料サブスクを本格展開　さらにAI向けプランも準備中
Metaが、Instagram・Facebook・WhatsApp向けの有料サブスクリプションを世界的に展開し始めた 個人向けの「Plus」プランは、数ドル/月で追加機能が使える仕組み 既存の「Meta Verified」はすぐには終了しない。今回のPlusは別物 さらにMetaは、クリエイター向け・企業向け・AI向けの新プランもテスト中 これらは今後、Meta One という傘の下にまとめていく方針 個人的には、Metaが「広告一本足」から本気で脱却しにいっている感じがかなり強いと思う Metaが、Instagram、Facebook、WhatsAppに「お金を払うと便利になる」仕組みを、いよいよ本格的に広げ始めました。 TechCrunchによると、Metaは2026年5月27日に、個人向けの有料サブスクをグローバル展開すると発表しました。あわせて、クリエイターや企業向け、さらにはMeta AI向けの新しい課金プランもテストを始めるそうです。 正直、これはかなりMetaらしい動きだと思います。 というのも、Metaの主戦場であるSNS
papoo.work
RokuのLT OSとは何か？ストリーミング端末を支える“軽量OS”をのぞいてみる
RokuのLT OSとは何か？ストリーミング端末を支える“軽量OS”をのぞいてみる
元記事はRokuの開発者ブログにある「roku-lt-os」というページ ただし、今回取得できた本文には実質的な記事本文が表示されておらず、JavaScriptを有効にするよう案内する画面だけが見えている そのため、この記事では「元記事で確認できた事実」と「タイトルや文脈から読み取れる範囲」を分けて紹介する Rokuはテレビ向けストリーミングの定番プラットフォームで、シンプルさが強み “LT OS” という名前からは、軽量で動作の軽いOSや、その思想を示す話題だと考えられる Rokuの開発者ブログに、「roku-lt-os」 というページがあります。 タイトルだけを見ると、ちょっと玄人向けの技術記事っぽい雰囲気がありますよね。私はこういう「短いURL名＋OSっぽい単語」の組み合わせを見ると、たいてい中身が気になる派です。なにしろ“OS”という言葉には、端末の動き方そのものを左右する重みがあるからです。 ただ、今回確認できた元記事の本文は、残念ながらほぼ表示されていませんでした。 画面には **「Please enable JavaScript in your browser t
papoo.work
Rotoが1年でどう進化したか：Rust向け“埋め込みスクリプト言語”の今
Rotoが1年でどう進化したか：Rust向け“埋め込みスクリプト言語”の今
Rotoは、Rustアプリに組み込むためのembedded scripting languageで、static typedかつJIT-compiledなのが特徴 公開から1年で、6つの新バージョンが出て、機能もかなり増えた `while` / `for`、`enum`、`List`、`const`、`+=` など、実用寄りの機能がどんどん追加された Rustとの連携方法が改善され、`library!` マクロで登録がかなり書きやすくなった ロゴ、講演、マニュアル改善、外部採用など、プロジェクトとしての存在感も一気に増した 今後は `hashmaps`、ユーザー定義 state、generic functions、formatter、LSP などが課題 Rotoは、Rustアプリの中で動かすためのスクリプト言語です。 ただの「スクリプト」ではなく、型が静的に決まる（実行前に型がチェックされやすい）うえに、JIT-compilation（実行しながら高速化する仕組み）を使うのが大きな特徴です。 ここが面白いところで、普通のスクリプト言語は「
papoo.work
10年前のXeonでGemma 4を動かすという狂気と工夫
10年前のXeonでGemma 4を動かすという狂気と工夫
2016年製のXeon、DDR3メモリ、GPUなしという“普通なら無理”な環境でLLMを動かした話 速さのカギはCPU性能よりもmemory bandwidth（メモリからデータを運ぶ速さ） speculative decoding で、重いモデルの前に軽いモデルを走らせて高速化している MoE（Mixture of Experts）モデルでは、どの expert をどう扱うかが性能に直結する mlock や run-time-repack みたいな地味な最適化が、古いマシンではかなり効く 便利な黒箱ツールではなく、細かいフラグを理解して使い分けることが重要 「10年前のXeonで最新級のLLMを動かす」と聞くと、正直かなり無茶に見えます。 でも今回の元記事は、その“無茶”をちゃんと工夫で押し切る話で、かなり面白いです。私はこういう、性能の限界をソフトウェアでねじ伏せる系の話が大好きです。ロマンがあります。 舞台は、2016年製の Intel Xeon E5-2620 v4 を積んだ再生サーバー。 メモリはなんと **128GB DDR3
papoo.work
License Plate Readerを見える化する「DeFlock」とは何か
License Plate Readerを見える化する「DeFlock」とは何か
DeFlockは、近くにある license plate reader（LPR）を探せるサイトです。 LPRは、車のナンバープレートを自動で読み取るカメラのことです。 こうした機器は、交通管理や防犯に使われる一方で、移動の記録が集まりやすいため、プライバシーの観点でも注目されています。 DeFlockの面白さは、見えにくい監視インフラを地図で可視化しようとしている点にあると思います。 「便利だからOK」で終わらず、どこで何が見られているのかを知ることが大事だ、という問題提起にもなっています。 DeFlock は、ひとことで言うと 「自分の周りにある license plate reader（LPR）を見つけるためのサービス」 です。 元記事の説明文もとてもシンプルで、“Find license plate readers (LPRs) near you.” と書かれています。つまり、「近くのLPRを探そう」というわけです。 LPRというのは、車のナンバープレートをカメラで読み取る仕組みのことです。 日本語だと「ナン
papoo.work
AI時代の「仕事の喪失感」──テック業界で広がる“名前のない悲しみ”を読む
AI時代の「仕事の喪失感」──テック業界で広がる“名前のない悲しみ”を読む
AIによる仕事の置き換えは、単なる「不安」や「焦り」ではなく、喪失に近い感情を生んでいる その感情は、給料よりも先に職業アイデンティティを揺さぶる 仕事がなくなる前から、すでに「自分の仕事の意味が消えていく」ことを悲しむ人がいる しかし会社側や社会は、それを正式に悼む言葉を持っていない 著者は、これをgrief（悲嘆・喪失の悲しみ）に近いものとして捉えるべきだと主張している 今回紹介する記事は、AIによる雇用の変化を、かなり珍しい角度から見ています。 ふつうAIの話というと、「仕事が奪われる」「効率が上がる」「失業が増える」といった経済の話になりがちです。もちろんそれも大事です。ですがこの記事は、そのさらに奥にある人間の感情に注目しています。 著者のJack Maguire氏は、AIによる仕事の置き換えで起きているのは、単なる恐怖やストレスではなく、grief＝悲嘆、つまり喪失を悼む感情に近いものだと論じています。 これはかなり面白い視点だと思います。というのも、テック業界では「変化に適応しろ」「新しいツールを使え」と言われがちですが、実
papoo.work
AI企業が「無料で家を掃除」する理由──未来のロボットを育てるためのデータ集め
AI企業が「無料で家を掃除」する理由──未来のロボットを育てるためのデータ集め
AIスタートアップのShiftが、家の掃除を無料で行うという変わったサービスを始めた ただし条件は、掃除の様子を撮影してAI学習用データに使うこと 撮影には、作業者がかぶるカメラ付きの帽子（magic hat）を使う ぼかし処理などで個人情報は保護するとしているが、家の中を撮られる点はやはり気になる 現時点ではニューヨーク限定だが、今後ほかの都市にも広げる予定 掃除だけでなく、将来的には配管・料理・建築などにも広げたい考え AIの世界では、最近「データ」がとにかく重要です。 モデルを賢くするには、たくさんの学習データが必要。これは画像でも文章でも同じですが、ロボットの世界ではさらにややこしい。というのも、ロボットは「言葉を読む」だけでは動けません。人間が実際にどう手を動かしているか、どんな順番で掃除しているか、どこで迷うか、といった“現場の動き”が必要だからです。 そんな中でThe Vergeが紹介したのが、AI training startupのShiftです。 この会社、なんと家の掃除を無料でやると申し出ています。聞こ
papoo.work
Pluto 1.0正式リリースで、Juliaのノートブック環境が「完成形」に近づいた話
Pluto 1.0正式リリースで、Juliaのノートブック環境が「完成形」に近づいた話
Plutoが、6年かけてついに version 1.0 をリリース Julia向けの interactive notebook として、再現性・共有・教育用途が大きく強化された 自動パッケージ管理、HTML/PDF/Juliaへのexport、反応的なcell制御などが実用レベルに成熟 アクセシビリティや多言語対応も進み、日本語UI も使える AI機能は「コード生成ツール」ではなく、学習を助ける補助にとどめる方針がはっきりしている Plutoは、Juliaで使うための interactive notebook environment です。 ざっくり言うと、コードを書いて、結果をすぐ確認できる「実験ノート」のようなものです。 Jupyter Notebook を知っている人ならイメージしやすいと思いますが、Plutoはそこにさらに一歩踏み込んでいて、セル同士が自動でつながるのが大きな特徴です。 あるセルの値を変えると、それに依存する別のセルが自動で再計算されます。スプレッドシートっぽい動き、と説明されていましたが、これはかなり本質をついて
papoo.work