何が起きたか
StepSecurity が 2026-08-13 に報告書を公開しました (CloudSEK の完全な被害者リスト開示に続いて)。「ChainDrop」という Shai-Hulud 系統の自己伝播型 npm ワームについて詳しく説明しており、2026 年 8 月 4 日に最初に特定されました。keyv メンテナーのアカウントを侵害し、そのメンテナー自身の CI パイプラインを悪用して細工されたリリースを自動公開することで、4 時間以内に 444 パッケージ/2,212 バージョンを汚染し、2,186 以上の組織全体で開発者、クラウド、AI ツール認証情報を収集しました。
なぜ重要か
このサプライチェーン ワームは、開発者および CI/CD 認証情報を特にターゲットにしています — AI コーディング エージェント用のトークンと モデル プロバイダー API を含みます — 規模 (週 450M 以上のダウンロード) は、数多くの AI 支援開発パイプラインに供給するソフトウェア サプライチェーンを脅かしています。新たに公開された完全な被害者公開リストは、以前の Shai-Hulud 開示の重要なエスカレーションです。
攻撃経路
攻撃者はメンテナーの GitHub アカウントを侵害し、悪意のあるコードを main に直接プッシュし、メンテナー自身の GitHub Actions パイプラインをトリガーして感染したパッケージ バージョンをビルドおよび自動公開しました。ワームは依存関係グラフ全体で自己伝播し、npm トークン、クラウド認証情報、CI/CD シークレットを収集します — AI コーディング ツールとモデル プロバイダー API の認証情報を含みます。
影響を受けるシステム
keyv、cacheable-request、flat-cache、file-entry-cache などの npm エコシステム パッケージおよびそれらの依存項目 (CI/CD パイプライン、AI コーディング エージェント環境)
緩和策
パッケージ アドバイザリーに従って、汚染された keyv/cacheable/flat-cache/file-entry-cache バージョンを監査して削除してください。影響を受けたバージョンをインストールしたすべての環境で、すべての npm、クラウド、AI プロバイダー認証情報をローテーションしてください。CloudSEK/StepSecurity が公開した被害者/公開リストを確認してください。