【要約】AIが提案した pip install / npm install を信用していいのか？fail-closedで検証する「pkgcheck」 [Zenn_Python] | Summary by TechDistill
> Source: Zenn_Python
Execute Primary Source
// Problem
AIエージェントの普及により、開発者がAIの提案するコマンドを無批判に実行するリスクが増大している。AIの「親切な補正」や「推論」が、セキュリティ上の隙を生んでいる。
- ・タイポスクワッティング：AIが誤った名前を提案、または正規名へ自動補正してしまう。
- ・Shai-Hulud型攻撃：AIのハルシネーションを悪用し、存在しない名前を攻撃者が先回りして登録する。
- ・サプライチェーン攻撃：正規パッケージの侵害を、AIが「有名だから安全」と誤認する。
// Approach
AIの曖昧さを排除するため、証拠に基づいた厳格な検証を行うカスタムスキルを開発した。AIに推論させず、事実のみを提示させる設計を採用している。
- ・Evidence-based：レジストリやOSVから取得した事実のみを提示し、推論を禁止する。
- ・Exact Name Match：入力名と公式名が1文字でも異なれば、即座にHIGH RISKと判定する。
- ・Fail-Closed：証拠が不足している場合は「安全」ではなく「UNKNOWN」として扱う。
- ・実装：大規模データ処理のため、動的に生成したPythonスクリプトでローカルパースを行う。
// Result
このスキルにより、開発者はインストール前にパッケージの正当性を確認できる。AIの提案を鵜呑みにせず、人間が判断するための具体的な証拠を得られるようになった。
- ・npm検証：
crossenv（マルウェア）やrecat（タイポスクワッティング疑い）を検知。 - ・一括監査：
requirements.txt内のメンテナンス停止パッケージや、古いバージョンによるCVE放置を可視化。 - ・運用：既存の事後監査ツールと組み合わせた多層防御のフローを構築可能。
Senior Engineer Insight
> AIエージェント導入時の「ガードレール」として極めて実戦的なアプローチである。特に「AIの親切心を制限する」という設計思想は、プロンプトエンジニアリングにおける重要な知見だ。ただし、AIの確率論的な挙動やAPIの制約があるため、全自動化は避け、人間による最終確認を前提とした多層防御の一部として組み込むべきである。