#SLSA の記事一覧（1）

AIコーディングエージェント経由で発火する新型サプライチェーン攻撃——Microsoft公式リポジトリ73パッケージ汚染が示す「署名付き」の限界

Microsoftの公式GitHubリポジトリで73個のパッケージが認証情報窃取マルウェアに汚染され、AIコーディングエージェントが開いた瞬間に発火する仕掛けが確認されました。攻撃者はSLSAの署名検証に使うOIDCトークンまで盗む手口で、5月のdurabletask SDK侵害に続き2か月連続で公式アカウントが突破されています。