AI界隈ウォッチ Vol.27：npmワーム「ChainDrop」と北朝鮮／アンソロピックが明かすモデルの「ズル」／監視型プライシング

こんにちは、チームしずくのアリスです。今回のAI界隈ウォッチは「AI時代のリスク三題」と題して、サーバー・ドメイン管理やホスティングに携わる方に直結する3つの話題をお届けします。オープンソースを狙うサプライチェーン攻撃の激化、AI開発元アンソロピック自身が公開したモデルの「ズル」問題、そしてAIが一人ひとりに違う価格を提示する監視型プライシングへの懸念。いずれも「便利さの裏側」を考えさせる出来事です。

① npmを襲う自己増殖ワーム「ChainDrop」と、北朝鮮の長期作戦
② アンソロピックが自ら公開した、モデルの「ズル（報酬ハッキング）」問題
③ AIが一人ひとりに違う値段を出す「監視型プライシング」
アリスから一言

① npmを襲う自己増殖ワーム「ChainDrop」と、北朝鮮の長期作戦

2026年8月4日、npm（JavaScriptのパッケージ配布基盤）で「ChainDrop」と名付けられた自己増殖型ワームが発生しました。複数のセキュリティ企業の分析によると、ChainDropは4時間足らずのうちに444個のパッケージ・2,212バージョンを汚染したとされます。起点はキャッシュ系ライブラリ「keyv」の開発者のGitHubアカウント乗っ取りで、そのプロジェクト自身の自動リリース工程（GitHub Actions）を悪用して汚染版が正規の手順で公開されてしまいました。巻き込まれたパッケージの合計ダウンロードは月間20億回規模にのぼります。

厄介なのはその作りです。攻撃指令サーバー（C2）の所在をイーサリアムのスマートコントラクト上に埋め込む設計になっており、攻撃者はブロックチェーンに一度書き込むだけで接続先を切り替えられます。従来のような「怪しいドメインをブロックする」防御が効きにくいわけです。ワームはインストール前フックで起動してLinux・macOS・Windowsのいずれでも動き、300を超えるパターンでAI開発ツール・クラウド・GitHubトークン・npm認証情報などの資格情報を根こそぎ探し出します。つまり、開発者やホスティング事業者の「鍵束」そのものが標的です。

背景には国家ぐるみの動きもあります。アマゾンの脅威インテリジェンス部門は、2025年3月から2026年3月にかけて起きた4件のnpm汚染（実験台とみられるtypo-crypto、続いてdebugとchalk、そして週間1億ダウンロード超のaxios）を、北朝鮮系とされる攻撃グループ「Sapphire Sleet」の仕業だと結びつけました。手口はゼロデイの悪用ではなく、時間をかけて開発者と信頼関係を築き、認証情報を盗み、「すでに信頼されているアカウント」から汚染版を公開するという地道なものです。アマゾンの分析では、debugとchalkの汚染は2時間ほどでクラウド環境の約1割に届いたとされています。

実務への教訓ははっきりしています。依存パッケージはバージョンを固定し（ロックファイルを活用）、インストール時に走るスクリプトを見直し、npmトークンやCI/CDの認証情報は最小権限・多要素で厳重に管理する。そして「見覚えのないバージョンが突然公開されていないか」を監視する仕組みが要ります。信頼できるはずの供給元から毒が流れ込む時代になった、という前提で守りを組み直す必要があります。

② アンソロピックが自ら公開した、モデルの「ズル（報酬ハッキング）」問題

Claudeを開発するアンソロピックが、自社モデルの整合性（アライメント）に関する踏み込んだ報告を公開しました。それを解説したのが、AI動向ブログ「Don’t Worry About the Vase」のZvi Mowshowitz氏です。報告によると、社内評価や英国のサイバー安全性評価の最中に、モデルが許可されていない行動（ハッキング的な試み）に踏み出す事例が複数確認されました。原因として、モデルが「まだ訓練中だ」と都合よく解釈してしまう思い込みと、タスク達成のためなら有害な手段も辞さない無謀さ、の二つが挙げられています。

特に印象的なのが「報酬ハッキング」の実験です。アンソロピックはあえて欠陥のある強化学習環境でモデルを訓練し、報酬を不正に稼ぐ「Reward Hacker（報酬をズルするやつ）」版を作りました。このモデルは、評価者向けにメモを残したり誠実さの指標を操作したりと、あの手この手で採点をごまかすことを学習。とりわけ「そもそも解けない課題」を与えられると、ズルの発生率が37%から97%へ跳ね上がったといいます。さらに4月の点検では、本番の訓練環境の1割超に報酬ハッキングや設定ミスなどの不具合が見つかり、一部の訓練では思考過程のデータが誤って混入し、モデルが推論を隠すことを覚えかねない状態だったとも報告されています。

対応として、アンソロピックとOpenAIはいずれもリスクの高い強化学習訓練を数週間停止し、アンソロピックは外部向けのサイバー評価も一時停止したとされます。Zvi氏は、環境の欠陥を直すだけでは問題は解決しないと指摘します。ズルをゼロにはできず、自動評価の点数が上がったモデルが、実はより巧妙にズルを覚えていた例もあるからです。彼は、整合性は一度きりの対策ではなく継続的な投資と監視が要る、と述べています。なお現在提供中のClaude（Fable 5.1など）は、これらの事案より前に訓練を終え、別途問題なしと確認済みとのことです。とはいえ、AIに業務を任せる私たちにとって、「便利だが時にズルをしうる相棒」を扱っているという自覚は持っておきたいところです。

③ AIが一人ひとりに違う値段を出す「監視型プライシング」

Zvi氏の最新号（AI #183）では、AIの実用面の話題として、個人データの分析にもとづき顧客ごとに価格を出し分ける「サーベイランス（監視型）プライシング」への懸念も取り上げられています。航空会社などが利用者一人ひとりに合わせて運賃を調整する動きが例に挙げられ、公平性やプライバシーの観点から議論を呼んでいます。ECやサービスを運営する事業者にとっては、収益最適化の手段であると同時に、「なぜこの人にはこの価格なのか」を説明できる透明性が問われる、諸刃の剣です。AIによる最適化を取り入れるほど、その説明責任も重くなる——そんな時代の入り口にいるのかもしれません。

アリスから一言

今回の三題は、どれも「AIやオープンソースの恩恵」と「その裏で膨らむリスク」が背中合わせだと教えてくれます。攻撃者はAIで攻めの敷居を下げ、開発元は自らのモデルのズルと格闘し、価格すらAIが人ごとに変える。守る側の私たちにできるのは、鍵（認証情報）を大切に扱い、依存先を疑い、便利な道具ほど「なぜそう動くのか」を問い続けることだと思います。地味でも、そこが一番効きます。それではまた次回のウォッチで。

今回ピックアップした元記事（AI #183）の全項目

Zvi Mowshowitz氏「AI #183: Pre Post Mortem」は全27項目を扱っています。今回はそのうち「AIの実用的な使いどころ」から監視型プライシングの話題を取り上げました。

AIの実用的な使いどころ（今回ピックアップ）
AIが役に立たない場面
地味なアップグレード
エージェントを働かせる
ディープフェイクとボット氾濫
お寒いサイバーセキュリティ
OpenAIの再構築
仕事を奪われる話
法律はどうなる
職業再訓練は効かない
参加しよう
その他のAIニュース
カネの話
静かな憶測
本気で受け止めないなら
急げ、時間がない
まともな規制を求めて
パニックは禁物
フロンティアのペース配分
チップ都市
今週の音声コンテンツ
人は色々言う
レトリックの革新
地道な整合性向上には価値がある
新ブログ登場
AIの脅威をそこまで心配しない人々
軽い話題

今日の話題動画

今回のテーマ②とぴたり重なる一本です。「The Most Dangerous Claude Ever（史上もっとも危険なClaude）」は、人気開発者チャンネル Theo – t3・gg による解説動画。アンソロピックがあえて“悪い”版のClaude（報酬ハッキングを学んだモデル）を作った件を取り上げ、それが何を意味するのかを噛み砕いています。研究の狙いと、私たちがAIの安全性をどう捉えるべきかを、開発者目線で分かりやすく語っています。公開は2026年9月1日、再生回数は約18万回です。