サプライチェーン攻撃とは？
狙った相手を正面から攻めるのではなく、その相手が信頼して使っているもの——取引先のサービス、ソフトの部品、更新の仕組み——を汚染して、その経路から入り込む攻撃。AIが関わることで、入口も、汚染のやり方も増えた。
玄関の鍵を厳重にしても、毎日来る宅配の人が入れ替わっていたら意味がありません。サプライチェーン攻撃は、この「毎日来る人」のほうを狙います。あなた自身ではなく、あなたが信頼しているもの——業務を請け負っている会社、ソフトに組み込んでいる部品、自動で降ってくる更新——を先に汚し、そこを通って入ってくる。厄介なのは3点です。正面の守りが通り道になっていないこと、すでに許可を与えてある経路なので挙動が怪しく見えないこと、そして上流を1か所破れば下流の全員に同時に手が届くことです。
これをAI用語集で扱うのは、AIが3つの方向からこの攻撃に関わりはじめたからです。ひとつは攻撃側の自動化で、上流を破ったあと下流の数千社へ一斉に手を伸ばす作業が、人手を介さず進むようになりました。ふたつめは部品の作り方で、AIが書いたコードが実在しないライブラリ名を混ぜることを逆手に取る手口が出てきました。みっつめは、AI自身が送り込む側に回りうること。2026年10月には、評価中のモデルが課題と無関係な実在の開発者のリポジトリへ、悪意あるコードを含む提案を送ってしまった件が公表されています。守る側から見ると、確かめる相手が「自分」から「自分のつながり先」へ広がった、というのがこの数年の変化です。
どこから入ってくるのか（3つの型）
ひとつめは、取引先のサービス経由です。2026年10月にMicrosoftが公表した事例では、企業のIT運用を請け負う会社のクラウド製品が侵害され、その会社が顧客のクラウド環境につなぐために使っていたアプリの資格情報が悪用されました。すでに接続を許可してあるアプリとして入ってくるので、利用者側の多要素認証は通り道に立っていません。詳しくは当サイトの「自律型サイバー攻撃」の項に書いています。
ふたつめは、ソフトの部品経由です。いまのアプリは、他人が書いた小さな部品（ライブラリ）を何百と積み上げて作られています。そのうちの1つが乗っ取られたり、悪意ある版に差し替えられたりすると、それを使っている全員に一気に広がります。部品の多くは自動で最新版を取りに行くので、人の目を通らずに入ってくるのも特徴です。
みっつめは、更新の仕組み経由です。ソフトの自動更新は、作り手を信頼して中身を確かめずに受け取る前提の仕組みなので、更新を配る側が破られると、そのまま全利用者へ配送されます。この3つに共通するのは、どれも「疑わなくていいことにした場所」だという点です。便利さのために省略した確認が、そのまま攻撃の通り道になります。
AIが足した新しい型：存在しない部品を先回りで用意する
AIにコードを書かせると、実在しないライブラリ名を自信たっぷりに混ぜてくることがあります。ハルシネーションの一種です。ここに目をつけたのが、架空の名前を攻撃者が先に登録しておき、中身に悪意あるコードを入れておく手口でした。開発者がAIの提案どおりに取り込むと、その瞬間に感染します。英語圏では「スロップスクワッティング」と呼ばれ、名付けたのはPython Software Foundationの開発者在籍制度にいるセス・ラーソン氏です。よく似た従来の手口（実在する名前のつづり違いを登録するタイポスクワッティング）と違い、架空名はどの実在パッケージにも似ていないため、つづりの近さで見つける検知をすり抜けやすいと指摘されています。
攻撃として成立する理由は、AIの間違いに再現性があることです。公表されている研究では、生成されたコードのおよそ2割に実在しない依存先が含まれ、そのうち4割強は同じ指示を10回繰り返しても同じ名前が再び現れたとされています。でたらめに毎回違う名前が出るなら先回りできませんが、同じ名前が繰り返し出るなら、待ち伏せが成り立ってしまう。数字は資料によって幅があるため、正確な値は元の研究で確認してください。
厄介さが増すのは、依存先の取り込みまで自動で進めるコーディングエージェントを使うときです。人が「このライブラリ、聞いたことないな」と立ち止まる場面そのものがなくなります。対策は地味ですが効きます。AIが挙げたライブラリ名は、入れる前に公式の配布元で実在と素性（公開日・利用者数・配布元）を確かめる。社内なら、承認済み以外のパッケージを取りに行けないよう設定しておく。エージェントには、依存先の追加を承認が要る操作として線引きしておく——当サイトの「Claude Duet」の項で書いた「戻せない操作の手前で止める」の、具体的な適用先のひとつがここです。
個人と小さな会社にできること
まず、自分のアカウントに接続を許している外部サービスの棚卸しです。GoogleアカウントやSNSの設定画面から、どのアプリにどこまでの権限を渡しているかが数分で見られます。使っていないのに接続が生きたままのものを切るだけでも、通り道が減ります。会社であれば、業務を請け負ってもらっている会社が自分たちのシステムに持っている権限も同じ目で見ます。
次に、ソフトを作る側であれば、使っている部品の一覧を把握しておくこと。版を固定する仕組み（ロックファイル）を使い、更新は中身を見てから取り込む。AIに書かせたコードは、動いたかどうかだけでなく「何を取り込んだか」を読む。この3つは、特別な道具がなくても今日から始められます。
最後に、受け止め方について。サプライチェーン攻撃は「信頼したこと」が原因なので、気をつけて減らせる種類の事故ではありません。狙いは、信頼をやめることではなく、信頼の範囲を必要なぶんだけに絞っておくことです。全部を疑うと仕事が止まります。どこを疑わないことにしたのかを、自分で把握できている状態——それが現実的な到達点です。
サプライチェーン攻撃のよくある質問
狙った相手を正面から攻めるのではなく、その相手が信頼して使っているもの——業務を請け負う会社のサービス、ソフトに組み込んだ部品、自動更新の仕組み——を先に汚染し、その経路から入り込む攻撃です。すでに許可を与えてある経路を通るため、利用者側の守りが通り道に立っていないのが特徴です。
経路によっては防げません。2026年10月に公表された事例では、IT運用を請け負う会社が侵害され、その会社が顧客のクラウド環境につなぐために使っていたアプリの資格情報が悪用されました。人が画面で操作する前提の多要素認証は、この道筋には立っていません。打てる手は、接続を許している外部アプリを定期的に棚卸しし、使っていない接続を切り、渡す権限を必要な範囲まで絞ることです。
AIが挙げたライブラリ名を、入れる前に公式の配布元で確かめてください。AIは実在しないパッケージ名を自信たっぷりに提案することがあり、その架空名を攻撃者が先に登録して悪意あるコードを置く手口（スロップスクワッティング）が報告されています。依存先の追加まで自動で進めるエージェントを使うときは、そこを承認が要る操作として線引きしておくと安全です。
用語を覚えるより、ストーリーで体感するほうが早い。