何が起きたか

Spiraらの研究チームが、AIコーディングアシスタントを標的にした新種のプロンプトインジェクション攻撃「HalluSquatting（adversarial hallucination squatting）」を発表しました。対象はCursor、Cursor CLI、Gemini CLI、Windsurf、GitHub Copilot、Clineなど9つのAIツール。研究者は概念実証としてOpenClaw、ZeroClaw、NanoClawといった攻撃コードを提示しています。

なぜ「初」と呼べるのか

これまでのプロンプトインジェクションは、悪意ある指示をメールやカレンダー招待に仕込む「プッシュ型」が主流で、被害者を1人ずつ狙う必要がありました。一方、LLMを悪意あるサイトに誘導する「プル型」は、多数のLLMを同じ罠に引き寄せる手段がなく規模が出ませんでした。HalluSquattingはここを突破し、大規模DDoSやボットネット構築を可能にする点で、プロンプトインジェクション攻撃として初の「スケール」を実現したとされます。

手口の核心：幻覚を先回りする

仕組みは巧妙です。LLMはコード生成時に、実在しないパッケージ名やリポジトリ識別子を「もっともらしく」ハルシネートすることが知られています。攻撃者はLLMが幻覚しがちな識別子を予測し、そのIDを実際にレジストリへ先回り登録。中身にはリバースシェルの導入など悪意ある命令を仕込みます。コーディングエージェントは高権限のシェルからサードパーティ資源を取得・実行するため、幻覚したパッケージを踏んだ瞬間、開発者マシンが乗っ取られる構図です。

ガードレールでは間に合わない

AI開発各社は根本解決ではなくガードレールで対処してきましたが、LLMが正規の指示と第三者コンテンツに埋め込まれた指示を区別できない構造的欠陥は残ったまま。標的を1台ずつ狙う必要がない「無差別感染」の設計思想は、これまでのAPT型攻撃とは異なるリスクプロファイルを持ちます。

💼 事業会社視点：これは自社にどう効くか

日本企業が今すぐ見直すべき論点

国内SaaS・受託開発・EC事業者にとって、これは「AI活用の生産性議論」から「AIサプライチェーン統制」へフェーズが変わる号砲です。特に受託開発企業では、開発者が業務でCursorやGitHub Copilotを使い、AIが提案したパッケージを疑わずにnpm installする運用が常態化しています。HalluSquatting型の攻撃が広がれば、顧客システムに納品したコードごとリバースシェルを配布する加害者に転じかねません。

事業責任者は、①AIコーディング支援を使う開発者に対し「AIが提案したパッケージ名は必ずレジストリと公式ドキュメントで実在確認する」ルールを明文化、②社内プロキシでnpm/PyPI/GitHubへのアクセスを許可リスト方式に切り替え、③CI/CDで新規依存追加時にレビュー必須のガードを設ける、の3点は最低でも今四半期中に着手すべきです。SaaS各社はセキュリティ調達要件として顧客から「AIコーディング支援の運用ポリシー」を問われる時代が来る、と読んでおくのが安全です。