家litellmライブラリがソフトウェアサプライチェーン攻撃の標的となり、AIコミュニティが警戒を強めている
著名なAI科学者アンドレイ・カルパシー氏による最近の警告が、AI開発者コミュニティに衝撃を与えている。同氏は、AIソフトウェアのサプライチェーンに対する標的型ポイズニング攻撃を明らかにした。標的となったのは、GitHubで4万以上のスターを獲得し、月間ダウンロード数が1億件近くに上る人気Pythonライブラリ「litellm」だ。主要なAIモデルAPIを呼び出すための汎用アダプターとして機能するこのライブラリが侵害されたことで、ドミノ効果が引き起こされ、AI開発ツールチェーン全体に影響を及ぼす恐れがある。
インストール時に感染：「見えない」悪意あるコードの動作
この攻撃のステルス性は、その巧妙なトリガーに起因しています。悪意のある攻撃者は、litellmの特定の2つのPyPIリリース（バージョン1.82.7および1.82.8）に不正な .pth ファイルを、litellm の特定の2つのPyPIリリース（バージョン1.82.7および1.82.8）に埋め込みました。
自動実行：これらの改ざんされたバージョンのいずれかを pip install 単にこれらの改ざんされたバージョンのいずれかをインストールするだけで、Pythonプロセスが起動するたびに悪意のあるコードが自動的に実行されます。手動でのインポートや関数呼び出しは不要であり、インストールが完了した瞬間にシステムは危険にさらされます。
包括的なデータ流出：コードがアクティブになると、ホスト上の幅広い機密データを積極的に収集します。これには、SSHキー、クラウド認証情報（AWS/GCP）、Kubernetesキー、暗号資産ウォレット、およびすべての環境変数（多くの場合、貴重な大規模モデルAPIキーが含まれています）が含まれます。盗まれた情報は暗号化され、攻撃者のリモートサーバーに送信されます。
予期せぬ展開：「バグ」によって露見した攻撃者
この、長期間発見されずに済んだ可能性のある犯罪は、ハッカー自身のミスによって阻止されました。ある開発者が、Cursorエディタで拡張機能を使用中に、自身のマシンのメモリ使用量が突然急増することに気づきました。
調査の結果、悪意のあるコードが「プロセス・フォーク・ボム」を引き起こしていたことが判明しました。これはプロセスが指数関数的に増殖し、システムを瞬時にクラッシュさせる現象です。この不安定な動作こそが決定的な手がかりとなり、セキュリティ研究者は問題を改ざんされたパッケージまで遡ることができました。Karpathy氏は、もし攻撃者のコードがより巧妙に書かれていたならば、この大規模な窃盗は今も続いている可能性があると指摘しています。
連鎖反応：セキュリティツールが「刃物運び」となった経緯
この事件は、サプライチェーン上の失敗が連鎖的に発生したことを浮き彫りにしています。攻撃グループ「TeamPCP」は、まずセキュリティスキャンツール「Trivy」を侵害しました。盗んだ認証情報を使用してlitellmの リリーストークンを入手し、コードレビューを迂回して、悪意のあるパッケージをPyPIに直接アップロードしました。
その影響は甚大だ。DSPy、MLflow、Open Interpreterを含む2,000以上の広く利用されているAIツールが、間接的にこのライブラリに依存している。セキュリティ専門家は、開発者に対し、以下のコマンドを実行して自身の環境を確認するよう緊急に勧告している pip show litellm。バージョンが1.82.7以降の場合は、認証情報の完全な漏洩を想定し、機密性の高いすべてのキーとトークンを直ちに更新してください。
関連記事
米国の株式市場が歴史的なマイルストーンに到達、AIと航空宇宙の巨人が1兆ドル規模のデビューに向けて準備を進める
エロン・マスク、サム・アルトマン、ダリオ・アモダイというテクノロジー業界の三巨頭が、それぞれの事業で初公開株式発行（IPO）に向けて進んでいる。スペースX、OpenAI、Anthropicという業界の巨人3社が1兆ドル規模の企業価値に近づき、上場準備を進める中、2026年は米国史上、新規株式発行が最も重要な年となる見込みだ。この歴史的な資金増強は世界の金融の注目を集めており、公的市場がこのような規模の資金を吸収する能力に対する重要なストレステストとなっている。これらの主要な資金調達が一斉に開始
スウェーデンのAIスタートアップ「Lovable」が主要な資金調達ラウンド終了後、132億ドルの評価額を達成
AI駆動のコーディングツールが注目を集める中、スウェーデンのスタートアップ企業Lovableは大型の資金調達ラウンドを獲得した。同社は30億ドルの調達を目指しており、これにより評価額が昨年12月に記録された66億ドルの倍となる132億ドルに達する可能性がある。この投資をリードするのはMenlo Venturesと見られている。Lovableの魅力は、複雑なコーディングスキルを不要とし、ソフトウェア作成を簡素化する中核の「ヴァイブコーディング」技術に由来する。ユーザーは自然言語で要件を記述するだ
Google、Geminiへの焦点がユーザー制御へシフトする中で、Remy AIエージェントをテスト
『Business Insider』によると、GoogleはGemini向けの新しいAIパーソナルエージェント「Remy」をテスト中である。このツールはユーザーに代わってタスクを実行することを目的としており、業務フローと日常のルーチンの両方を効率化する。現在、RemyはGeminiアプリケーションの社内限定版においてテストが行われている。この報道は社内文書と、プロジェクトに精通した2人の人物へのインタビューを引用している。社内資料では、Remyを「24時間365日のパーソナルエージェント」と位
関連特集おすすめ
書き込み
長文SEO記事に最適なAIアウトライン生成ツール
XIX.AIが厳選した、2026年最新のロングフォームSEO記事向け高評価AIアウトライン生成ツール。これらの強力なツールは、高品質なコンテンツを迅速に作成するための画期的な支援を提供し、執筆効率を大幅に向上させます。 無料版と有料版の比較、実地テスト、詳細なランキングを参考に、ご自身のニーズに合った「ぜひ試すべき」ツールを見つけてください。今すぐチェックして、AIの力を最大限に活用しましょう。
8 ツール
xix.ai
教育と学習
宿題や試験対策に役立つAI学習ツール
2026年版 宿題や試験対策に最適な最新AI学習ツール！XIX.AIは、学生の生産性を高め、宿題の完了を効率化し、実際の試験で好成績を収めるのに役立つ、画期的な高評価ツールを厳選して紹介しています。 無料版と有料版の比較、詳細なランキング、そしてAIの力を最大限に引き出すためにぜひ試すべきツールをご紹介します。今すぐチェックしましょう！
10 ツール
xix.ai
作曲
ソングライター向けAIボーカルデモツール：フック、トップライン、多言語のドラフトセッション
2026年版 ソングライター、フッククリエイター、多言語コンテンツ制作チームのための最新・最高のAIボーカルデモツール！XIX.AIは、厳格な実地テストを経て、業界に革新をもたらす強力なツールを厳選し、高評価のランキングリストを作成しました。 無料版と有料版の詳細な比較データ、包括的なランキング、そして創作効率を高め、創造力を最大限に引き出すためにぜひ試すべきツールが満載です。今すぐチェックして、あらゆるコンテンツ制作ニーズに最適なツールを見つけましょう！
9 ツール
xix.ai
仕事
中小企業に最適なAI競合分析ツール
2026年版 中小企業向け最新・最高評価のAI競合分析ツール！XIX.AIは、実環境での厳格なテストと詳細なランキングに基づき、毎週更新される、極めて強力で業界に革命をもたらすツールを厳選しました。無料版と有料版の包括的な比較も掲載されており、生産性を向上させ、競争優位性をもたらす「ぜひ試すべき」ツールを見つけるのに役立ちます。 今すぐチェックして、あなたにぴったりのツールを見つけましょう！
9 ツール
xix.ai
画像編集
EC用アパレル向けPhotoshop AIレタッチツール、肌のクレンジング、色の統一
2026年最新版、eコマース用アパレル向けPhotoshop AIリタッチツール、肌補正、色調統一に最適！この高評価の厳選リストは、文章作成の効率化、コンテンツ制作の簡素化、完璧な視覚結果の達成を支援する革新的なソリューションを提供しています。各ツールは週次更新ランキングを通じて実世界でテストされ、無料版と有料版の比較詳細も記載されています。XIX.AIが後援するこのガイドは、AIの優位性を最大限に引き出したい方に必見です。今すぐチェック！
10 ツール
xix.ai
プロンプト
ChatGPTワークフローに最適なAIプロンプトライブラリ
2026年版：あらゆる種類のChatGPTワークフローを最適化するための、最新かつ最高評価のAIプロンプトライブラリ。XIX.AIは、最高のパフォーマンスを保証するために厳格な実環境テストを経た、強力で画期的なコレクションを厳選しました。 無料版と有料版の詳細な比較や専門家によるランキングを参考に、生産性を高め、AIの真の力を引き出す「必試」ツールを選んでください。今すぐチェックしましょう！
11 ツール
xix.ai
コメント (0)
0/500
著名なAI科学者アンドレイ・カルパシー氏による最近の警告が、AI開発者コミュニティに衝撃を与えている。同氏は、AIソフトウェアのサプライチェーンに対する標的型ポイズニング攻撃を明らかにした。標的となったのは、GitHubで4万以上のスターを獲得し、月間ダウンロード数が1億件近くに上る人気Pythonライブラリ「litellm」だ。主要なAIモデルAPIを呼び出すための汎用アダプターとして機能するこのライブラリが侵害されたことで、ドミノ効果が引き起こされ、AI開発ツールチェーン全体に影響を及ぼす恐れがある。
インストール時に感染：「見えない」悪意あるコードの動作
この攻撃のステルス性は、その巧妙なトリガーに起因しています。悪意のある攻撃者は、litellmの特定の2つのPyPIリリース（バージョン1.82.7および1.82.8）に不正な .pth ファイルを、
自動実行：これらの改ざんされたバージョンのいずれかを pip install 単にこれらの改ざんされたバージョンのいずれかをインストールするだけで、Pythonプロセスが起動するたびに悪意のあるコードが自動的に実行されます。手動でのインポートや関数呼び出しは不要であり、インストールが完了した瞬間にシステムは危険にさらされます。
包括的なデータ流出：コードがアクティブになると、ホスト上の幅広い機密データを積極的に収集します。これには、SSHキー、クラウド認証情報（AWS/GCP）、Kubernetesキー、暗号資産ウォレット、およびすべての環境変数（多くの場合、貴重な大規模モデルAPIキーが含まれています）が含まれます。盗まれた情報は暗号化され、攻撃者のリモートサーバーに送信されます。
予期せぬ展開：「バグ」によって露見した攻撃者
この、長期間発見されずに済んだ可能性のある犯罪は、ハッカー自身のミスによって阻止されました。ある開発者が、Cursorエディタで拡張機能を使用中に、自身のマシンのメモリ使用量が突然急増することに気づきました。
調査の結果、悪意のあるコードが「プロセス・フォーク・ボム」を引き起こしていたことが判明しました。これはプロセスが指数関数的に増殖し、システムを瞬時にクラッシュさせる現象です。この不安定な動作こそが決定的な手がかりとなり、セキュリティ研究者は問題を改ざんされたパッケージまで遡ることができました。Karpathy氏は、もし攻撃者のコードがより巧妙に書かれていたならば、この大規模な窃盗は今も続いている可能性があると指摘しています。
連鎖反応：セキュリティツールが「刃物運び」となった経緯
この事件は、サプライチェーン上の失敗が連鎖的に発生したことを浮き彫りにしています。攻撃グループ「TeamPCP」は、まずセキュリティスキャンツール「Trivy」を侵害しました。盗んだ認証情報を使用して
その影響は甚大だ。DSPy、MLflow、Open Interpreterを含む2,000以上の広く利用されているAIツールが、間接的にこのライブラリに依存している。セキュリティ専門家は、開発者に対し、以下のコマンドを実行して自身の環境を確認するよう緊急に勧告している pip show litellm。バージョンが1.82.7以降の場合は、認証情報の完全な漏洩を想定し、機密性の高いすべてのキーとトークンを直ちに更新してください。
米国の株式市場が歴史的なマイルストーンに到達、AIと航空宇宙の巨人が1兆ドル規模のデビューに向けて準備を進める
エロン・マスク、サム・アルトマン、ダリオ・アモダイというテクノロジー業界の三巨頭が、それぞれの事業で初公開株式発行（IPO）に向けて進んでいる。スペースX、OpenAI、Anthropicという業界の巨人3社が1兆ドル規模の企業価値に近づき、上場準備を進める中、2026年は米国史上、新規株式発行が最も重要な年となる見込みだ。この歴史的な資金増強は世界の金融の注目を集めており、公的市場がこのような規模の資金を吸収する能力に対する重要なストレステストとなっている。これらの主要な資金調達が一斉に開始
スウェーデンのAIスタートアップ「Lovable」が主要な資金調達ラウンド終了後、132億ドルの評価額を達成
AI駆動のコーディングツールが注目を集める中、スウェーデンのスタートアップ企業Lovableは大型の資金調達ラウンドを獲得した。同社は30億ドルの調達を目指しており、これにより評価額が昨年12月に記録された66億ドルの倍となる132億ドルに達する可能性がある。この投資をリードするのはMenlo Venturesと見られている。Lovableの魅力は、複雑なコーディングスキルを不要とし、ソフトウェア作成を簡素化する中核の「ヴァイブコーディング」技術に由来する。ユーザーは自然言語で要件を記述するだ
Google、Geminiへの焦点がユーザー制御へシフトする中で、Remy AIエージェントをテスト
『Business Insider』によると、GoogleはGemini向けの新しいAIパーソナルエージェント「Remy」をテスト中である。このツールはユーザーに代わってタスクを実行することを目的としており、業務フローと日常のルーチンの両方を効率化する。現在、RemyはGeminiアプリケーションの社内限定版においてテストが行われている。この報道は社内文書と、プロジェクトに精通した2人の人物へのインタビューを引用している。社内資料では、Remyを「24時間365日のパーソナルエージェント」と位
XIX.AIが厳選した、2026年最新のロングフォームSEO記事向け高評価AIアウトライン生成ツール。これらの強力なツールは、高品質なコンテンツを迅速に作成するための画期的な支援を提供し、執筆効率を大幅に向上させます。 無料版と有料版の比較、実地テスト、詳細なランキングを参考に、ご自身のニーズに合った「ぜひ試すべき」ツールを見つけてください。今すぐチェックして、AIの力を最大限に活用しましょう。
8 ツール
xix.ai
2026年版 宿題や試験対策に最適な最新AI学習ツール！XIX.AIは、学生の生産性を高め、宿題の完了を効率化し、実際の試験で好成績を収めるのに役立つ、画期的な高評価ツールを厳選して紹介しています。 無料版と有料版の比較、詳細なランキング、そしてAIの力を最大限に引き出すためにぜひ試すべきツールをご紹介します。今すぐチェックしましょう！
10 ツール
xix.ai
2026年版 ソングライター、フッククリエイター、多言語コンテンツ制作チームのための最新・最高のAIボーカルデモツール！XIX.AIは、厳格な実地テストを経て、業界に革新をもたらす強力なツールを厳選し、高評価のランキングリストを作成しました。 無料版と有料版の詳細な比較データ、包括的なランキング、そして創作効率を高め、創造力を最大限に引き出すためにぜひ試すべきツールが満載です。今すぐチェックして、あらゆるコンテンツ制作ニーズに最適なツールを見つけましょう！
9 ツール
xix.ai
2026年版 中小企業向け最新・最高評価のAI競合分析ツール！XIX.AIは、実環境での厳格なテストと詳細なランキングに基づき、毎週更新される、極めて強力で業界に革命をもたらすツールを厳選しました。無料版と有料版の包括的な比較も掲載されており、生産性を向上させ、競争優位性をもたらす「ぜひ試すべき」ツールを見つけるのに役立ちます。 今すぐチェックして、あなたにぴったりのツールを見つけましょう！
9 ツール
xix.ai
2026年最新版、eコマース用アパレル向けPhotoshop AIリタッチツール、肌補正、色調統一に最適！この高評価の厳選リストは、文章作成の効率化、コンテンツ制作の簡素化、完璧な視覚結果の達成を支援する革新的なソリューションを提供しています。各ツールは週次更新ランキングを通じて実世界でテストされ、無料版と有料版の比較詳細も記載されています。XIX.AIが後援するこのガイドは、AIの優位性を最大限に引き出したい方に必見です。今すぐチェック！
10 ツール
xix.ai
2026年版：あらゆる種類のChatGPTワークフローを最適化するための、最新かつ最高評価のAIプロンプトライブラリ。XIX.AIは、最高のパフォーマンスを保証するために厳格な実環境テストを経た、強力で画期的なコレクションを厳選しました。 無料版と有料版の詳細な比較や専門家によるランキングを参考に、生産性を高め、AIの真の力を引き出す「必試」ツールを選んでください。今すぐチェックしましょう！
11 ツール
xix.ai
