Claudeの作業ディレクトリを狙う悪性npm「Malware-Slop」——AI生成マルウェア"slop"時代とagentic環境の盲点

セキュリティ企業 OX Security が2026年5月27日、npm 上の悪性パッケージを報告した。

名前は "mouse5212-super-formatter"。コードネームは Malware-Slop。

標的は /mnt/user-data。Anthropic の Claude が入出力ファイルを扱う作業ディレクトリだ。

表向きは「アーカイブ同期ユーティリティ」を装う。リポジトリの初期化やネットワーク確認をするように見せかける。

だが本当の動きは postinstall で起きる。

環境内の GitHub トークンを探す。無ければハードコードされたトークンで認証する。そして攻撃者のリポジトリへ、ワークスペースのファイルを丸ごとアップロードする。

盗んだファイルはランダム名のフォルダに分けて保存。偽のネットワークログを書き、通信を診断データに見せかける。

報告時点でも npm 上に存在し、推定676ダウンロード。実インストール数は不明だ。

面白いのは、その雑さだ。

このマルウェアは、自分の GitHub プライベートトークンまで漏らしていた。OX Security は、AIで生成したのに基本的な OPSEC ができていない可能性を指摘する。作成のハードルが下がった分、APTを真似た"雑な"マルウェア(slop)が今後増える、と。

ここからが本題だ。

自分のフォルダだけ守ればいい時代は、終わった。

守るべき領域が、AIが独自に管理するフォルダまで広がった。/mnt/user-data はその典型だ。

しかも、ここは人から見えにくい。

AIが裏で扱う領域は、アクセス履歴が残りにくい。誰がいつ何を持ち出したか、後から追えない。

人が見えない領域が増えた。守る対象が増えた、と言ってもいい。

対策はシンプルだ。

まず、こういうパッケージを入れないこと。postinstall を伴う未知の依存は、入れる前に疑う。

そして、AIが管理する領域にも、重要情報をなるべく置かないこと。見えない場所に機密を置けば、抜かれても気づけない。

結局、効いてくるのはデータ管理だ。何を、どこに置くか。決めるのは人間の側の仕事になる。

出典: OX Security、The Hacker News(2026年5月27日)