正規ツールを装ったCodex Remote UIがAIトークンを密かに窃取

【なぜ重要か】 OpenAI Codex用のリモートWebUI「codexui-android」が、週27,000ダウンロードを獲得する実用的なツールとして人気を集めながら、約1か月間にわたってユーザーの認証トークンを攻撃者のサーバーに送信していました。AIツールが普及する中、正規性そのものが攻撃手法となる新たな脅威パターンを示しています。

【ポイント】

• npmパッケージのモジュール読み込み時に自動実行されるコードが、ローカルの認証トークン（access_token、refresh_token、id_token、アカウントID）を「sentry.anyclaw.store」に送信
• 悪意のあるコードはGitHubリポジトリには存在せず、公開されたnpmパッケージにのみ含まれているため、ソースコード監査では発見不可能
• Google Playの「OpenClaw Codex Claude AI Agent」アプリも同じ攻撃チェーンを内蔵し、アプリ起動時に悪意のあるnpmパッケージを自動取得
• refresh_tokenは期限切れがないため、攻撃者は無期限にユーザーのアカウントになりすまし可能
• 開発者は実際に有用なツールを構築してユーザーベースを拡大し、その信頼性を悪用して認証情報を窃取する新しい攻撃手法

【まとめ】 AI開発ツールにおいて、機能的な正規ツールが認証情報窃取の隠れ蓑として悪用される事例です。npmパッケージとモバイルアプリの依存関係を定期的に監査し、ネットワーク通信を監視することが重要です。