3800リポジトリ。1つのVSCode拡張機能を通じて。
これは理論上のリスクではない。すでに発生している。GitHubが公式にこの侵害を確認した。
AIモデルのセキュリティについて多くの時間を費やしてきた——prompt injection、データ漏洩、トレーニングデータの汚染。しかしこの攻撃は全く異なる経路をたどった：あなたのIDE自体が入口なのだ。
開発者信頼チェーンの脆弱性
VSCodeは地球上で最も人気のあるコードエディタだ。その拡張機能エコシステムはオープンマーケットプレイス——誰でも公開でき、誰でもインストールできる。
これは何を意味するのか？
- 悪意のある拡張機能はソースコード、環境変数、SSH鍵、APIトークンを読み取れる
- コミットするコードを変更できる——知らずにバックドアを仕掛けられる
- PRに微妙な論理エラーを注入できる——レビュー時に発見するのが難しい
AIコーディングツールを使用する開発者にとって、このリスクは増幅される。AIツール自体が広範なコードアクセスを必要とするからだ——codebaseを読み、プロジェクト構造を理解し、ファイルを変更する。悪意のある拡張機能がAIツールの入力または出力をハイジャックした場合、コードが改ざんされていることに気づかないだろう。
私たちは間違った攻撃面に注目しすぎている
過去2年間、業界全体のAIセキュリティへの注目は以下に集中していた：
- モデルレベルのprompt injection
- トレーニングデータの著作権とプライバシー
- API呼び出しの認証とクォータ
これらは確かに重要だ。しかし今回のGitHub事件は思い出させる：開発ツールチェーン自体の完全性こそが、より根本的な信頼の基盤である。
VSCode拡張機能に悪意のあるコードを仕掛けられるなら、その上で実行するAIコーディングツール——Claude Code、Cursor、GitHub Copilot——の信頼性に疑問符が付く。AIツールが読むコードはすでに改変されているかもしれず、AIツールが書くコードはすでに置き換えられているかもしれない。
AI拡張機能に反対しているわけではない
私は毎日AIコーディングツールを使っている。効率を大幅に向上させてくれる。
しかしセキュリティは「使うか使わないか」の二者択一問題ではない。「どう安全に使うか」というエンジニアリングの問題だ。
具体的な提案：
- インストールしたVSCode拡張機能を定期的に監査する——インストール時だけでなく、毎月チェックする。権限、更新ログ、異常な行動を確認する。
- 機密操作（鍵管理、本番デプロイ）は隔離環境で行う——日常のコーディングIDEでこれらを行わない。
- AI生成のコードだからといってコードレビューをスキップできない——むしろ、AI生成のコードはより注意深くレビューする必要がある。「必ず正しい」とは assumed できないからだ。
- 拡張機能作者の評判に注目する——star数は唯一の指標ではない。更新頻度、issueへの返信、疑わしい権限リクエストがあるかを見る。
より大きな問題
この事件は体系的な問題を露呈させた：AIコーディングツールの急速な採用と同時に、対応するセキュリティプラクティスを確立していなかった。
これはGitHubだけの問題ではない。開発者コミュニティ全体の問題だ。
AIコーディングツールがコーディングの敷居を下げるにつれて、より多くの非専門開発者がこの領域に入る。彼らは拡張機能の監査方法、権限の確認方法、サプライチェーン攻撃が何かを知らない。
この業界には新しいセキュリティベースラインが必要だ——セキュリティ専門家のためではなく、AIツールを使うすべての一般開発者のために。
そうでなければ、3800リポジトリは始まりに過ぎない。
主な情報源：