Tensorlake · 2026-10-08

正規npm SDKの配布版を改ざん、インストール時に認証情報を狙う悪性コード

配布版改ざん

研究者は、10月8日に公開された正規npmパッケージ「tensorlake」0.5.144へ悪性コードが混入したことを確認しました。インストール時のスクリプトから認証情報を収集するペイロードを起動し、npm・GitHub・クラウドの認証情報や開発ツールの設定を狙う仕組みを分析しています。

確認された配布版の改ざんを一つの事件として記録します。初期侵入経路や実際の利用者感染数、窃取の成功範囲は未確定。正規パッケージの週間ダウンロード数や累計取得数を、悪性版の感染数として掲載しません。コードが持つ拡散・送信機能と、下流組織で実行された被害を区別します。AI関連ツールの認証情報を狙うことだけではAIを使った攻撃としません。

出典

公表・続報日：2026-10-08。確認状況と被害規模は参照した発表時点の情報です。