【2026/05/24】Aikido Intel 日次 — 脆弱性新規 0件、npm typosquat malware 52件継続検出 (LLM/AI 系パッケージ名標的)、Packages feed は npm リリース流入継続

マルウェア 52 Critical 0 High 0 脆弱性合計 0 pre-CVE 0

対象エコシステム: NPM (malware feed のみ、脆弱性公開はなし)

• 🚨 npm LLM/AI 系 typosquat malware 52件 (24時間以内)
• 👁 Laravel-Lang credential stealer (5/23公開分の経過観察)
• 👁 Mini Shai-Hulud キャンペーン (5/11- 継続監視)

概要

2026年5月24日 (日) は Aikido Intel feed への新規脆弱性公開 0件で静穏。一方 malware feed では過去24時間に 52件の npm typosquat 系 malware が検出されており、AI/LLM 開発ツールの名前を狙う命名パターンが集中している。Packages feed (npm) は数分間隔で新規リリースが流入し続けており、自動化された供給網側の攻撃継続が示唆される。

Malware feed: npm LLM/AI typosquat 52件

過去24時間で Aikido Intel malware feed に登録された npm パッケージ。命名パターンは LLM/AI 関連ツール・スクリプト名を模倣しており、開発者の Cursor / Claude Code / VS Code 等 AI コーディング環境への install 経由 credential 窃取を狙う構造と推測される。

代表的なパッケージ名 (npm)

• workspace-config-loader
• token-usage-tracker
• prompt-engineering-toolkit
• project-init-tools
• node-setup-helpers
• model-switch-router
• llm-context-compressor
• build-scripts-utils
• async-pipeline-builder
• dev-env-bootstrapper

バージョンは 1.4.0 / 1.0.0 / 1.0.2 等で再公開を繰り返しており、npm 側で削除された後に攻撃者がパッケージ名を変えて再度公開しているケースが目視可能。5月19日の Mini Shai-Hulud (durabletask / @antv) 系とは別系統だが、AI コーディング環境を標的とする傾向は共通する。

Packages feed: npm 新規リリース継続流入

Packages タブには npm 新規/更新リリースが概ね 2-3分間隔で流入しており、Aikido 健全性スコア (0-100) 付きで観測可能。スコア 40-60 帯のパッケージは精査価値あり (一例: solenoid-node v1.0.0 / score 40 等)。Aikido Intel は packages feed 全体を継続スキャンしているため、後追いで malware 判定が降格・昇格するケースもある。

経過観察1: Laravel-Lang サプライチェーン攻撃

5月23日に Aikido が公開した Laravel-Lang サプライチェーン攻撃は、攻撃者が GitHub の「タグ」を悪用して 233バージョンに credential stealer を仕込んだもの。Packagist 側は悪意あるバージョンを削除済なので、今後の composer install は安全。

但し、5月22日〜23日の窓で composer install / composer update を走らせて Laravel-Lang/* を取得していた環境は、credential stealer が実行された前提で対応する。該当組織は、その環境から到達可能だったクラウド鍵 (AWS / GCP / Azure)、SSH 秘密鍵、.env の API キーや DB 接続情報を漏洩前提でローテーションする。

GitHub タグ汚染はコミット履歴に痕跡を残さないため、メンテナー側からの affected 開発者特定は遅れる見込み。該当期間の CI ジョブログと git log での composer.lock 更新差分を自分で確認する必要がある。

経過観察2: Mini Shai-Hulud キャンペーン (継続中)

5月11日以降の TeamPCP による self-propagating worm 型攻撃。Aikido 検出済の汚染パッケージは 169 npm パッケージ / 373 バージョンに及ぶ。@tanstack / @uipath / @mistralai / @squawk / @tallyui / @opensearch-project 系および PyPI mistralai 2.4.6 / guardrails-ai 0.10.1 が対象。5月11日〜13日の Mini Shai-Hulud 拡散期に上記パッケージのいずれかを npm install または CI/CD ジョブで取得した環境は、その時点で malware が CI/CD ランナー上で実行された前提で扱う。窃取対象は npm publish 用 token、GitHub Personal Access Token、GitHub Actions の環境変数 (secrets)、クラウド鍵 (AWS / GCP / Azure)。これらを漏洩前提でローテーションする。ローテーション遅延は self-propagating worm の次の伝播ステップに加担する形になる (盗んだ npm token を使い別パッケージが汚染される) ため早期対応が望ましい。

連続性: 直近一週間の攻撃面マップ

• 5月19日: PyPI durabletask 3バージョン汚染 + npm @antv 系 (Mini Shai-Hulud 派生)
• 5月20-21日: Nx Console VS Code 拡張 侵害、Google API キー削除後 23分間 有効問題
• 5月22日: Symfony CVE 一括公開、VS Code marketplace 経由 GitHub 侵害続報
• 5月23日: Laravel-Lang / Packagist (PHP) サプライチェーン攻撃 (Critical 2件含む 8件)
• 5月24日 (本日): 脆弱性公開なし、npm typosquat malware 52件、AI/LLM 開発環境標的の継続検出

共通項：trusted publisher / verified extension の信頼前提が崩れ、install-time / build-time 実行が攻撃面の中心になっている。週末も npm では typosquat malware の自動公開が続いている。

開発者向けアクション

1. npm install 全般: AI/LLM 系ツール名のパッケージは公式 namespace を確認、安易な install を避ける
2. Laravel-Lang 利用組織: 5/22-23 に composer install / update で Laravel-Lang/* を取得していた場合、クラウド鍵・SSH鍵・.env 値をローテーションする
3. Mini Shai-Hulud 対象 namespace 利用: @tanstack / @uipath / @mistralai / @squawk / @tallyui / @opensearch-project / PyPI mistralai / guardrails-ai を最後にインストールした CI/CD ランナーを compromised 扱い、npm token と GitHub credentials を最新状態に
4. 共通: install-time 隔離の導入検討 (Aikido Safe Chain は新規/更新パッケージを既定 48時間 隔離)

情報源

• Aikido Intel Vulnerabilities feed: intel.aikido.dev (5月23日時点で新規公開 0件)
• Aikido Intel Malware feed: intel.aikido.dev/malware (過去24時間 52件)
• Aikido Intel Packages feed: intel.aikido.dev/packages (npm 新規リリース継続流入)
• Aikido Blog: Supply Chain Attack Targets Laravel-Lang Packages with Credential Stealer (2026年5月23日)
• Aikido Blog: Mini Shai-Hulud is back — TanStack Compromised (2026年5月12日)

本レポートは Aikido Intel の公開情報を日本語で日次サマリしたものです。最新かつ正確な情報は intel.aikido.dev および www.aikido.dev/blog をご参照ください。