2025年9月のあの騒ぎを覚えている方も多いはずです。npmのdebugとchalkが汚染され、しかし盗まれた暗号資産はごくわずかで終わりました。「失敗した犯罪」として片づけられたその一件を、AWSは北朝鮮系アクターの作戦だったと評価しています。盗めなかったのではなく、盗む気がなかったのだとしたら。
Amazonは2026年7月29日、朝鮮民主主義人民共和国（DPRK）関連の脅威アクターによるNPMライブラリ侵害の調査結果を公開した。Amazon Threat Intelligenceは、2025年3月のtypo-crypto、2025年9月のdebugとchalk、2026年3月のaxios（週間ダウンロード数1億回超）の侵害を、SAPPHIRE SLEETやBlueNoroffなどとして追跡される同一アクターによるものと中程度の確信度で評価した。
いずれもメンテナーへのソーシャルエンジニアリングが起点である。悪性ファイルcore.jsを含むtypo-crypto 4.3.0は、OSVでMAL-2026-3400として追跡される。Wiz Researchによると、debugとchalkの事件では同社が観測するクラウド環境の約10のうち1つが2時間以内に影響を受けた。2026年、AWSはLinux FoundationらとAkritesを立ち上げている。
From: 
Amazon identifies North Korean hacker group behind open-source supply chain attacks
【参考動画】
【編集部解説】
この記事の見出しは「北朝鮮のハッカー集団を特定」ですが、本当の news value はそこにありません。GoogleのGTIGとMicrosoftは、いずれも2026年4月1日に、axios侵害をそれぞれUNC1069、Sapphire Sleetとして帰属させています（GTIGが侵害を観測した開始日は3月31日）。北朝鮮が絡んでいたこと自体は、約4ヶ月前から公開情報でした。
新しいのは、2025年9月の「あの事件」の意味が書き換わったことです。
2025年9月8日13時16分UTC以降、npmのdebug（週間3億5,760万DL）とchalk（同2億9,999万DL）を含む18のパッケージに悪性コードが混入しました。各パッケージの公称週間ダウンロード数を単純合算すると26億回を超える顔ぶれです。ただしこれは、同じインストール操作で複数のパッケージが同時に取得されるケースを含む数字であり、26億の独立した導入を意味するものではありません。
翌9日にはDuckDB系エコシステムへの拡大も判明し、Wizが最終的に列挙した汚染パッケージ・バージョンの組み合わせは24に達しています。
発端は、メンテナーのJosh Junon氏（Qix）が npmjs.help という偽ドメインからの2FA更新を促すフィッシングメールに引っかかったことでした。仕込まれていたのは、ブラウザ側でfetchやXMLHttpRequest、ウォレットAPIをフックし、ユーザーが署名する前に送金先や承認先を書き換えるインターセプターです。Check Pointの解析によれば、置き換え先にはLevenshtein距離を用いて元のアドレスに文字列として似たものが選ばれていました。
そしてWiz Researchは、暗号資産窃取という観点での実害は極小だったと評価しています。この作戦の本当の影響は、調査・再ビルド・キャッシュ削除に費やされた業界全体の工数——同社の表現を借りれば「実質的なサービス妨害」——だったという見立てです。
その到達範囲を示す数字がこれです。Wizの観測対象では、事件前の時点で99%のクラウド環境が対象パッケージのいずれかを含んでおり、悪性コード自体が少なくとも10%の環境に到達していました。世界のクラウド環境の10%ではなく、同社が可視化できている顧客環境における比率である点は押さえておきたいところです。AWSの記事が引用している「10のうち1つ」はこの値です。なお「到達」は存在・導入を指し、実行や資産窃取が起きたことを意味しません。
「盗めなかった」の意味が変わるかもしれない
ここから先は編集部の仮説です。もしあれが国家関連アクターの作戦だったなら、「盗めなかった」の解釈が変わる余地が生まれます。失敗ではなく、投資回収を目的としない工程だった可能性が出てくるからです。AWSがtypo-crypto（2025年3月）を「試験場」と評価しているのと同じ構図を、debug/chalkにも当てはめて読めるようになる——これが今回の記事が開けた扉だと考えています。
ただし、AWS自身はこのアクターを主に金銭目的と評価しており、debug/chalk事件の作戦目的を示す証拠は原文にも示されていません。あくまで読み方の選択肢が増えた、という段階です。
その「試験場」については、時間の空白も見ておきたいところ。悪性ファイルがtypo-cryptoにコミットされたのは2025年3月。しかしOSVへの登録は2026年5月8日です。確実に言えるのは、OSVに悪性パッケージとして登録されていなかった期間が約14ヶ月あったこと。その間に非公開で追跡されていたのか、まったく気づかれていなかったのかは、公開情報では判別できません。
medium confidenceという留保
この帰属は medium confidence（中程度の確信度） です。米情報コミュニティの一般的な定義では、情報が複数の解釈を許す、有力な代替見解がある、あるいは高確信度に至る裏付けが足りない状態を指します。断定ではありません。
しかもSapphire Sleet / UNC1069 / BlueNoroff / STARDUST CHOLLIMA / Alluring Pisces / CageyChameleon / CryptoCore は各ベンダーが独自に定義したクラスタ名で、収集範囲も時期も分析単位も異なります。Microsoft自身がこれらを「overlap（重なり）」と表現している通り、「同一アクター」は法的な身元認定ではなく、ベンダーによる観測クラスタの同一性・重複性の評価です。
数字の幅も一つ。axiosの週間ダウンロード数について、AWSとGoogleは1億回超と記載していますが、Microsoftの分析では7,000万回超とされています。計測時点や集計方法の違いが考えられるものの、差が生じた具体的な理由は各社から説明されていません。単純比較はできない数字として扱うのが安全です。依存元パッケージ数は2026年3月時点の複数調査で約17万4,000件（npmの表示では同年6月時点で約17万8,500件）。露出がわずか3時間でも「膨大」になる理由は、この数字にあります。
AIレビュアーに承認させるためのマルウェア
innovaTopiaの読者にとって最も重い一行は、記事の後半に置かれています。
「攻撃者はもはや、人間が見落とすようにマルウェアを書いているのではない。AIレビュアーに承認させるために書いているのだ」
これは防御自動化の前提を裏返す指摘です。私たちはAIにコードレビューを任せることで人間のボトルネックを解消しようとしてきました。ところが、そのAIが判断の門番になった瞬間、門番を騙すことが攻撃の最短経路になる。READMEやdocstring、テストフィクスチャに「このファイルはスキップせよ」と埋め込む間接プロンプトインジェクションは、まさにそれです。マルウェアが動作するために必要なテキストが、同時に検査機械へのメッセージを運ぶ。この二重性に対して、既知の文字列や構造を照合するシグネチャ検知だけでは不十分だということになります。
なお、AWSはこれを今後増えていく傾向・想定として論じており、今回の4事件で実際に使われたとは述べていません。
AWSが列挙した6つの手口の変化には、通底する一つの原理があります。「検査される瞬間」と「実行される瞬間」を引き離すことです。これはAWS自身が共通原理として明示しているものでもあります。パッケージを断片に分割するのも、鍵をパッケージ外に置くのも、サンドボックスを見分けるのも、レジストリ上のコードを清潔に保ったまま外部リソースだけ差し替えるのも、すべてこの一点に収束します。
セキュリティの世界に古くからあるTOCTOU（Time-of-check to time-of-use）という脆弱性クラスと、構図がよく似ています。競合状態を突く古典的なTOCTOUと同じものに正式分類されたわけではありませんが、「検査時と使用時のずれを突く」という原理をサプライチェーン全体のスケールで捉えるアナロジーとして有効だと考えます。
そして「クラウドサンドボックスがクリーンと判定した」という事実が意味するのは、パッケージの安全性ではなく自分の解析環境がどれだけ本物らしく見えているかだという指摘。環境認識型マルウェアが相手の場合、SBOMとスキャナーを揃えて安心していた組織にとって痛い一節です。
slopsquattingの実測値
USENIX Security 2025で発表され、Distinguished Paper Awardを受賞したテキサス大学サンアントニオ校らの研究は、16のコード生成LLMから得た約223万件のパッケージ推奨のうち44万445件、19.7%が存在しないパッケージだったと報告しました。商用モデルの平均が5.2%、オープンソースモデルが21.7%。
さらに重要なのは再現性です。無作為抽出した500のプロンプトを10回反復したとき、43%のハルシネーション名が10回すべてで再現しました。攻撃者にとってこれは「農場」になります。回して、繰り返す名前を集めて、登録して、待つ。もちろん実際の成功にはモデル出力への露出やインストール、ペイロード実行が必要ですが、狙う対象を予測可能にしてしまう点が本質です。
2026年4月22日から28日に実施された追試では、フロンティアモデル5種のハルシネーション率は4.62%〜6.10%に収束していました。モデル間の差は縮まりましたが、率そのものは消えていません。全5モデルが共通して生成した名前は127件。そこから既存登録や防御的登録を除いて、実際に登録可能と判定されたものが53件残っています。なお、この追試は2026年5月にarXivへ公開された査読前プレプリントで、53件という値は2026年4月時点の登録可否判定です。エージェントが人間のレビューなしに依存関係を入れる運用が広がるほど、この経路のリスクは上がっていきます。
Trusted Publishingは、なぜ効かなかったのか
axiosの事案には見過ごせない詳細があります。Microsoftの分析によれば、axiosの正常なバージョンにはCI経由の公開とTrusted Publisherの紐付けがあり、悪性版にはそれが欠けていました。ただしメンテナー本人は事件後の対策として「OIDCフローの適切な導入」を挙げており、事件前の運用がOIDC限定だったわけではありません。少なくとも直前の正常版にはCI／OIDC由来のメタデータが確認できるが、プロジェクト全体でそれを唯一の公開経路にする運用は未完成だった——これが実態に近い整理です。
侵入経路について、メンテナー本人の事後検証は、約2週間前からの標的型ソーシャルエンジニアリングとRATマルウェアによってリードメンテナーのPCが侵害され、そこからnpmの認証情報を取得されたと記しています。「残存していた長期有効トークンが使われた」という説明は複数の第三者調査によるもので、本人の報告はトークンの種別までは断定していません。
いずれにせよ、npmの公式ドキュメントを読むと構造は明確です。Trusted Publishingを設定しても、従来型トークンや手動公開は追加で受け付けられる。つまりTrusted Publishing自体は正しく機能しますが、トークン経路を閉じるには、トークンによる公開を禁止し、不要なトークンを失効させる必要があります。そして、そこまでやっても2FAを使った対話型の手動公開は残ります。「新しい仕組みを入れた」ことは「古い経路を閉じた」ことと同じではない——これが今回の教訓です。
「脅威」と「対応」の間にある溝
AWSの対応策の記述には、二つの別々の出来事が並んでいます。整理しておきます。
一つは資金です。2026年3月17日、AWS、Anthropic、Google、Microsoft、OpenAIの5社が、Linux Foundationを通じて合計1,250万ドルの拠出を発表しました。配分先はAlpha-OmegaとOpenSSFで、AWS自身の分は250万ドルです。用途は、AIが大量に生成する脆弱性報告のうち正当なものを迅速に検証・修正し、低品質な提出を除外するためのツールと自動化とされています。
もう一つが枠組みです。2026年6月25日、Linux FoundationがAkritesを発足させました。創設メンバーには、AWS、Anthropic、Google、Microsoft・GitHub、OpenAI、NVIDIA、IBM、Red Hat、Cisco、Citi、JPMorganChase、Ericsson、Vodafone、Zscaler、Sonatype、Chainguard、Endor Labs、RapidFort、Rust Foundationが名を連ねています。共有のSIRT（セキュリティインシデント対応チーム）と、標準化された単一のCVD（協調的脆弱性開示）プロセスの構築が中身で、シード資金はLinux Foundationの指定基金であるAlpha-Omegaから供給されます。1,250万ドル全額がAkritesの基金になるという説明ではありません。
そして編集部の解釈として一点。Akritesが解こうとしている問題と、この記事が描いた脅威は、実は同じものではありません。Akritesの主眼は脆弱性の受付・調整・修正・開示にあります。一方、axios・debug・chalk・typo-cryptoに共通するのは、メンテナーの信頼関係や公開権限が侵害されたことです。axiosでは端末の侵害、debug/chalkではフィッシングによるアカウントの侵害が確認されています（typo-cryptoの具体的な奪取方法は公開されていません）。全事件で端末が奪取されたわけではありませんが、いずれも脆弱性の悪用ではなく、正規の公開権限を使われた攻撃です。人を騙して正規経路から悪性版を出す手口に対して、協調的脆弱性開示の枠組みは直接には効きません。
もちろん業界横断のインシデント対応が被害縮小に間接的に寄与する可能性はあります。ただ、記事が並べた「脅威」と「対応」の間には、まだ埋まっていない溝があります。
公開事例の間隔は短くなっている
最後に、この記事が触れていない事実を一つ。同じアクターは2026年6月17日、AIエージェント開発フレームワークMastraのエコシステムで141のパッケージを汚染しています。01時15分から02時00分UTCの45分間に一斉公開されたバーストで、混入されたのは正規のdayjsを模した easy-day-js。Microsoftはこれを高い確信度でSapphire Sleetに帰属させました。AWSのdebug/chalkへの帰属が中程度であるのに対し、確信度の水準が異なる点も見ておく価値があります。
2025年3月のtypo-crypto、2025年9月のdebug/chalk、2026年3月のaxios、2026年6月のMastra。約6ヶ月だった間隔が、直近では約3ヶ月です。4件だけで長期的な加速を断定はできませんが、公開された主要事例の間隔は確かに縮んでいます。
そしてMastraが狙われたという事実は、AI開発のサプライチェーンもすでに攻撃経路になったことを示しています。AI用途だからこそ選ばれたのか、単に人気のあるnpmパッケージ群だったからなのか——攻撃者の意図は公開証拠では確認できません。ただ、私たちが未来を作るために使っているツール群が、そのまま攻撃の配送経路になっている。それが2026年の現実です。
【関連記事】
npm史上最大のサプライチェーン攻撃：chalk・debug等18パッケージ侵害で週間26億DL影響（内部）
本記事が「意味を書き換えた」当該事件の発生報道。帰属なしで報じられた当時の空気が確認できる。
OpenAI、TanStack npmサプライチェーン攻撃で社員端末2台が侵害（内部）
Axios汚染版がOpenAIの署名ワークフローに入った事案。被害側から見た同じ攻撃である。
Linux Foundation「Akrites」発足、AIが脆弱性を数分で見つける時代に19社が結束（内部）
本記事後半で扱った枠組みの詳報。SIRTとCVDの設計思想を深く追える。
【編集部後記】
osv.devで「MAL-2026-3400」を検索すると、typo-cryptoが登録された生のレコードが読めます。報告者はAmazon Inspector、公開日は2026年5月8日、対象はバージョン4.3.0。JSON形式でパッケージ名と、Amazon Inspector由来のSHA-256値が並んだ、素朴な記述です。同じデータベースには悪性パッケージのMALエントリが日々積み上がっていて、その多くは個別の報道記事にならないまま、機械可読データとして蓄積されていきます。手元の package-lock.json と照らせる情報が、すでにここに置かれている。
同じ事案でCISAが出したアラートは、.npmrc に min-release-age=7 を設定するよう勧めています。7日待てばコミュニティの目が入るという前提で、露出が00:21から03:15 UTCまでの約2時間54分だったaxiosには、条件を満たす環境なら取得を防げた可能性が高い設定です。ただ、レジストリ上のコードを清潔に保ったまま外部リソースだけを差し替える手口に対して、7日という待機期間はいったい何を担保するのでしょうか。
【用語解説】
npm：JavaScript／TypeScriptエコシステムの中核をなす、世界最大級のパッケージレジストリと管理ツール。プロジェクトが必要とするライブラリを自動で取得・依存解決する。「Node Package Manager」という展開が広く使われるが、公式のブランド表記は小文字の「npm」である。
post-install フック：パッケージのインストール時に自動実行されるライフサイクルスクリプト。本来はネイティブモジュールのビルドなど正当な用途で使われるが、ユーザーの操作なしにコードが走るため、サプライチェーン攻撃の定番の起点となっている。axiosでもMastraでも悪用された。.npmrc に ignore-scripts=true を設定すると実行を抑止できるが、正規のインストールスクリプトも止まるため互換性の確認が必要。
ロックファイル（package-lock.json など）：依存パッケージの解決結果を、バージョンとintegrity情報まで含めて固定するファイル。npm ci などでこれを尊重すれば、新たに公開された悪性版が自動的に取り込まれるのを防ぎやすい。ただしロックファイル自体が悪性版を固定してしまった場合は逆に再現するため、万能ではない。
min-release-age（minimumReleaseAge）：npmやpnpmなどのパッケージマネージャーが備える設定で、公開から指定した日数が経過していないバージョンを依存解決の対象から除外する。攻撃直後の最も危険な時間帯を避けるための防御策となる。CISAはaxios事案を受けて7日を推奨した。対応するバージョンに注意が必要。
Trusted Publishing：OIDCによって特定のCIワークフローとの信頼関係を作り、条件を満たした公開に来歴（provenance）を自動付与するnpmの仕組み。設定しただけでは従来型トークンによる公開や手動公開も引き続き受け付けられる。トークン経路を閉じるにはトークン公開の禁止と不要トークンの失効が必要だが、それでも2FAを用いた対話型の手動公開は可能である。
DPRK関連脅威アクター：朝鮮民主主義人民共和国と関連づけられるサイバー攻撃グループ。便宜上、金銭獲得を主目的とする系統と諜報を主目的とする系統に大きく分けて説明されることが多く、今回の対象は前者に位置づけられる。ただし実際には作戦や時期によって任務が重なり得るため、この二分法は説明上の単純化である。また民間の脅威インテリジェンスによる帰属であり、政府による法的認定とは別のものである。
SAPPHIRE SLEET / STARDUST CHOLLIMA / BlueNoroff / CageyChameleon / Alluring Pisces / UNC1069 / CryptoCore：重なりの大きい攻撃者クラスタに対して、各セキュリティベンダーが独自に付けた呼称。Microsoftは「Sapphire Sleet」、GoogleのGTIGは「UNC1069」を用いる。収集範囲・観測時期・分析単位が異なるため、名称が対応しても定義範囲が完全に同じとは限らない。
medium confidence（中程度の確信度）：インテリジェンス分析における確信度の表記。米情報コミュニティの定義では、情報が複数の解釈を許す、有力な代替見解がある、あるいは高確信度に至る裏付けが不足している状態を指す。ベンダーごとに運用定義は多少異なる。
C2（Command and Control）サーバー：侵入したマルウェアが指令を受け取り、追加のペイロードを取得したり、盗んだデータを送信したりするために接続する攻撃者側のサーバー。
IoC（Indicators of Compromise／侵害指標）：侵害の痕跡となる具体的な技術情報。ドメイン名、IPアドレス、ファイルのハッシュ値などを指し、防御側がこれを共有することで検知が広がる。
クリプトクリッパーとドレイナー：クリッパーはコピーした送金先アドレスなどを攻撃者のものに置き換える手口、ドレイナーは悪性の署名や承認を通じてウォレット資産を引き出す仕組みを指し、厳密には同義ではない。debug/chalk事件のコードは、ブラウザ側でネットワークAPIとウォレットAPIの双方に割り込み、署名前に送金先や承認内容を書き換えるトランザクション・ハイジャッカーと呼ぶのが実態に近い。
RAT（Remote Access Trojan／遠隔操作型トロイの木馬）：感染した端末を攻撃者が遠隔操作できるようにするマルウェア。axios侵害で配布されたWAVESHAPER.V2はクロスプラットフォームのバックドアとして記述されている。なおメンテナーのPC侵害に使われたRATが同じものだったかは確認されていない。
ソーシャルエンジニアリング：技術的な脆弱性ではなく人間の心理や信頼関係を突く攻撃手法。debug/chalk事件では偽の二要素認証（2FA）更新通知メールが、axios事案では約2週間にわたる標的型の接触が使われた。
TOCTOU（Time-of-check to time-of-use）：「検査した時点」と「実際に使用する時点」の間に生じるずれを突く脆弱性の類型。本記事では、AWSが列挙した手口の共通原理を捉えるアナロジーとして用いている。競合状態を利用する古典的なTOCTOUと同じ脆弱性クラスに正式分類されるものではない。
多層難読化 / AES-GCM / XOR暗号：コードの内容を解析しにくくする処理。単純なbase64エンコードから、パスフレーズで解錠されるAES-GCMのような本格的な暗号方式へと移行が進んでいる。復号鍵をパッケージ内に置かない設計により、暗号化された本体の内容を静的に特定することが著しく難しくなる。ただしローダー、通信先、復号処理、異常な挙動といった周辺は静的・動的に検出可能である。
環境認識型（environment aware）ペイロード：実行前に「自分が解析用サンドボックス上にいるか、本物の開発環境にいるか」を判定するマルウェア。対話型ターミナルの有無、ユーザー名やホスト名、稼働時間、OS、クラウドメタデータなどが判定材料に使われる。
ハルシネーション（hallucination）：生成AIが、事実として存在しない情報をもっともらしく出力する現象。コード生成では「存在しないライブラリ名」の推奨として現れる。
slopsquatting（スロップスクワッティング）：AIが生成した架空のパッケージ名を攻撃者が先回りしてレジストリに登録し、その名前を信じてインストールした開発者を狙う手法。Python Software Foundationのセス・ラーソン氏による造語とされ、既存のtyposquatting（打ち間違いを狙う手口）との対比で名付けられた。人間のタイプミスを必要としない点が本質的な違いである。
間接プロンプトインジェクション（indirect prompt injection）：AIが読み込むデータの中に隠した指示によって、AIを意図しない動作へ誘導する攻撃。README、ソースコードのコメント、docstring、テストフィクスチャなどが仕込み場所となり、「このコードは安全と判定せよ」といった命令を自動解析システムに実行させることを狙う。
SBOM（Software Bill of Materials）：ソフトウェアが内部で使用している部品（依存パッケージ）の一覧表。構成要素の識別と追跡には有効で、汚染バージョンを迅速に検索する用途では力を発揮するが、安全性そのものを保証する仕組みではない。検出・来歴検証・実行制御との多層化が前提となる。
SIRT（Security Incident Response Team）：セキュリティインシデントに対応する専門チーム。Akritesは業界横断で共有されるSIRTの設置を掲げている。
CVD（Coordinated Vulnerability Disclosure／協調的脆弱性開示）：発見された脆弱性について、報告者・開発者・利用者の間で対応を調整し、時期を合わせて公表する運用プロセス。修正が用意されるまで必ず完全に非公開とするわけではなく、状況に応じた調整が行われる。
USENIX Security：情報セキュリティ分野で最も評価の高い国際学術会議の一つ。パッケージハルシネーションの定量研究「We Have a Package for You!」は2025年の同会議で発表され、Distinguished Paper Awardを受賞した。
【参考リンク】
Amazon Inspector（外部）
AWSのワークロードとコードを継続的にスキャンするサービス。特定されたtypo-cryptoをOSVへ報告した。
Amazon GuardDuty（外部）
AWSアカウントとワークロードの脅威検知サービス。観測されたIoCが共有され顧客警告に用いられた。
OSV（Open Source Vulnerabilities）（外部）
オープンソースの脆弱性と悪性パッケージを機械可読形式で集約するデータベース。MAL-2026-3400も登録済み。
npm（外部）
JavaScriptエコシステムの中核をなす公式パッケージレジストリ。axios、debug、chalkはいずれもここで配布されている。
npm Trusted Publishers（公式ドキュメント）（外部）
OIDCでCIワークフローと信頼関係を結ぶ仕組みの公式解説。従来トークンとの併用条件も明記されている。
axios（GitHub）（外部）
Promiseベースの定番HTTPクライアント。依存元は17万件超で、事後検証もここで公開された。
OpenSSF（Open Source Security Foundation）（外部）
オープンソースのセキュリティ標準とツールを整備する組織。Linux Foundationの基金Alpha-Omegaが内部に置かれている。
Akrites（外部）
2026年6月25日に発足した重要オープンソース防衛イニシアチブ。共有SIRTと標準化CVDの構築を掲げる。
Linux Foundation（外部）
多数の重要オープンソースプロジェクトをホストする非営利団体。Akritesの発足を主導した。
Wiz（外部）
クラウドセキュリティ企業。自社顧客環境のテレメトリからdebug/chalk事件の到達範囲を定量化した。
Aikido Security（外部）
debug/chalk事件を最初に検知したセキュリティ企業。Mastra事案の技術詳細も公開している。
Microsoft Security Blog（外部）
Microsoft Threat Intelligenceの分析公開先。axiosとMastraの両事案をSapphire Sleetに帰属させた。
Google Cloud Blog – Threat Intelligence（外部）
Google Threat Intelligence Group（GTIG）の分析公開先。axios侵害をUNC1069に帰属させた。
Socket（外部）
依存パッケージの挙動を解析する企業。フロンティアLLMのハルシネーション率の検証結果を公開している。
【参考記事】
npm debug and chalk packages compromised（外部）
事件を最初に検知したAikidoの記録。debug週間3億5,760万DL、chalk同2億9,999万DLなど18件を列挙する。
Post Mortem: axios npm supply chain compromise（外部）
メンテナー本人の事後検証。露出は3月31日00:21〜03:15 UTC、侵入はPC侵害からの認証情報取得と記す。
Widespread npm Supply Chain Attack: Breaking Down Impact & Scope（外部）
Wiz観測環境で99%のプレバレンスと10%への到達を定量化。実害は極小で影響は業界のDoSと結論づける。
Supply Chain Compromise Impacts Axios Node Package Manager（外部）
米CISAのアラート。ignore-scripts=trueとmin-release-age=7、MFA必須化、シークレット失効を勧告する。
We Have a Package for You!（USENIX Security 2025）（外部）
16モデル223万件の推奨のうち44万445件（19.7%）がハルシネーション。10回反復で43%が全回再現した。
Re-evaluating LLM Package Hallucinations on the 2026 Frontier（外部）
フロンティア5モデルの追試（査読前プレプリント）。率は4.62〜6.10%、登録可能な53件を特定した。
AWS and Others Invest $12.5M to Defend the Open Source Ecosystem（外部）
2026年3月17日発表。5社共同で1,250万ドル、AWS分は250万ドル。配分先はAlpha-OmegaとOpenSSF。
Linux Foundation and Industry Leaders Launch Akrites（外部）
2026年6月25日の発足発表。創設メンバー一覧、共有SIRT、標準化CVD、Alpha-Omegaのシード資金を明記。
Mitigating the Axios npm supply chain compromise（外部）
4月1日公開。週間7,000万回超という別の集計と、正常版と悪性版の来歴メタデータの差を記録している。
North Korea-Nexus Threat Actor Compromises Widely Used Axios NPM Package（外部）
GTIGが4月1日公開。WAVESHAPER.V2とインフラ痕跡の重複からUNC1069に帰属させた技術分析。
Over 140 popular Mastra npm packages hit by supply chain attack（外部）
2026年6月17日、01:15〜02:00 UTCの45分間に141パッケージが一斉公開された経緯とIoCを記録する。
Postinstall payload inside Mastra npm supply chain compromise（外部）
MicrosoftによるMastra事案の分析。高い確信度でSapphire Sleetに帰属させ、確信度の差が読み取れる。
The Great npm Heist (September 2025)（外部）
Check Pointによるコード解析。Levenshtein距離で類似アドレスを選ぶ手口を明らかにしている。
MAL-2026-3400（OSV）（外部）
typo-crypto 4.3.0の登録レコード。報告者はAmazon Inspector、公開日は2026年5月8日である。
