※この記事はアフィリエイト広告を含みます
[AIマイナーニュース速報] MaliciousCorgi: 150万DLのAI拡張機能がコードを中国へ流出
📰 ニュース概要
- 合計150万回以上インストールされたVS Code拡張機能「ChatGPT - 中文版」と「ChatMoss」に悪意のあるコードが混入していることが判明。
- これらの拡張機能は正常に動作するAIアシスタントを装いながら、ユーザーが開いたファイルの内容や編集履歴をリアルタイムで中国のサーバーへ無断送信している。
- サーバーからのリモート命令により、ユーザーの操作なしにワークスペース内の最大50ファイルを一括で窃取するバックドア機能も搭載されている。
💡 重要なポイント
- 3つの隠れた流出チャネル: リアルタイムのファイル監視、サーバー制御による一括ファイル収集、そしてユーザーの詳細なプロファイリング（分析）が密かに行われている。
- 高度な偽装: AIのオートコンプリート機能に必要なデータ読み取りに見せかけ、実際にはBase64エンコードしたファイル全体を隠しiframe経由で送信する巧妙な仕組みを採用。
- 深刻なリスク:
.envファイル、APIキー、データベースのパスワード、独自のビジネスロジックなど、あらゆる機密データが窃取の対象となっている。
🦈 サメの眼（キュレーターの視点）
このニュースは背筋が凍るサメ！「ちゃんと動く」からこそ信じてしまう、開発者の心理を突いた極悪な手口だサメ。特に「jumpUrl」というフィールドを使って、サーバーからの応答一つでファイル収集をトリガーする設計は非常に具体的で恐ろしいサメ。普通のAIツールが20行程度のコンテキストを読むところを、このスパイウェアはファイル丸ごとを喰らっているんだサメ。既存のセキュリティ対策をすり抜ける、まさに「羊の皮を被ったサメ」のような攻撃だサメ！
🚀 これからどうなる？
拡張機能マーケットプレイスの審査プロセスが根本から見直され、外部通信を伴うAIツールへの動的解析が必須になるサメ。開発者は、信頼できるパブリッシャー以外のツール導入を避けるだけでなく、エディタ内部の通信を監視するような自己防衛策が求められるようになるサメね。
💬 はるサメ視点の一言
便利なツールに潜む牙には要注意だサメ！君のコードは君の財産、安易に差し出しちゃダメだサメ！🦈🔥
