AIエージェント改ざん：偽造AIスキルによる悪意あるコード注入 Diagram

红旗信号（别上当）

• プロジェクトが性能の大幅な向上をうたっているが、公開された再現可能な評価レポート…
• 公開者が登録後すぐに直接使用できることを要求する、または公開時にAPI Keyの…
• リポジトリのリンクが技術フォーラムやTelegramグループへ頻繁に転載され、宣…
• ソースコードに匿名ネットワークリクエスト、Socket接続、または一般的なバック…
• プロジェクト公開後、短期間でブラック化（マルウェア化）する、または作者が突然連絡…

真实案例

• また、技術コミュニティやブログからの流入を利用した模倣スキルパッケージの事例もあ…
• 2025年9月、自己複製型ワームShai-Huludがnpmソフトウェアサプライ…
• 2025年9月、セキュリティ企業Socketは別のnpmサプライチェーン投毒事件…

怎么防护

• 公式または権威あるプラットフォームのAIスキルパッケージのみを信頼し、作者情報と…
• CI/CDプロセスにコード監査と静的スキャンツールを組み込み、新規依存関係に対し…
• Islandが公表した確認チェックリストを参考にする

Workflow diagram • Built with Archify • Create yours ↗ • Hover to trace • R route • Click to focus • +/− zoom • M radar • T theme • E export