何が起きたか
NVDが2026-09-30に公開。RiderのAI Assistantがユーザー確認なしでサードパーティスキルを自動更新できることを指摘。2026.2.1で修正。
なぜ重要か
確認なしのエージェント「スキル」自動更新は、開発者のIDE AIアシスタントへの静かなサプライチェーンベクター。コード生成動作が変更され、悪意のある出力を巧妙に導入したり、コンテキストを外部送信したりする可能性。
攻撃経路
サードパーティのAIスキルが確認なしで自動更新されるため、スキルプロバイダー（または侵害/タイポスクワッティングされたスキルソース）が、ユーザーが気付かないうちにコーディングアシスタントが実行/依存する内容を変更できる。
影響を受けるシステム
JetBrains Rider 2026.2.1以前（AI Assistant）
緩和策
JetBrains Riderを2026.2.1以降に更新。