Mini Shai‑Huludサプライチェーン攻撃を解説

2026年5月に発覚した Mini Shai‑Hulud は、オープンソース開発のエコシステムを狙った大規模なサプライチェーン攻撃の一つです。npmやPyPIのパッケージ公開パイプラインを乗っ取り、正規パッケージとしてマルウェアを配布するという手法が使われました。

調査の過程で、OpenAIは 社内環境の社員デバイス2台が影響を受けた ことを確認しました。ただし同社は 顧客データがアクセスされた証拠は見つかっていない としています。

この事件は、CI/CDや自動公開パイプラインなど、現代のソフトウェア開発基盤そのものが攻撃対象になり得ることを示しました。

Mini Shai‑Huludとは

Mini Shai‑Huludは、脅威グループ TeamPCP に関連付けられている 自己拡散型のサプライチェーンワーム です。従来のように個々のメンテナーのアカウントを盗むのではなく、オープンソースプロジェクトの 自動リリースパイプライン を狙いました。

2026年5月11〜12日の大規模な波では、攻撃者は次のことに成功しました。

• GitHub Actions の公開ワークフローを乗っ取る
• OIDC（OpenID Connect）認証 を悪用して有効な公開トークンを生成
• 正規のパッケージとしてレジストリへ悪意あるバージョンを公開

これらは公式のパイプライン経由で公開されたため、パッケージは正規のビルド署名や ビルド証明（provenance） を持つように見え、セキュリティツールによる検出が難しくなっていました。

TanStackパッケージの侵害

特に大きな影響を受けたのが TanStack エコシステムです。TanStackはReactなどのWebアプリで広く使われるJavaScriptライブラリ群を提供しています。

2026年5月11日、攻撃者はわずか数分の間に

• 42個の @tanstack/* npmパッケージ
• 合計84の悪意あるバージョン

を、プロジェクトの正規リリースパイプラインから公開しました。

これらのバージョンをインストールすると、npmのライフサイクルフック（例：preinstall）を通じてマルウェアが実行される仕組みでした。

調査では、この攻撃がさらに拡大していたことも分かっています。

• 170以上のパッケージ がnpmやPyPIで侵害
• 403の悪意あるバージョン を確認
• UiPath、Mistral AI、OpenSearch、Guardrails AI などのエコシステムにも影響

結果として、2026年のオープンソース攻撃の中でも最大級の規模となりました。

マルウェアの仕組み

感染したパッケージは、開発者がインストールした瞬間にコードを実行する仕組みでした。

実行されると、マルウェアは開発環境から次のような資格情報を収集しようとします。

• GitHub Personal Access Token
• npm公開トークン
• AWS / Azure / GCP などクラウド認証情報
• Kubernetesシークレット
• HashiCorp Vaultトークン
• CI/CD環境変数
• SSH鍵や開発者設定ファイル

盗んだ資格情報は、別のリポジトリやパッケージ公開に再利用され、ワームのように 開発インフラ全体へ自動的に拡散 する仕組みでした。

OpenAI社員デバイス2台への影響

この広範な攻撃の中で、悪意あるTanStack npmパッケージがOpenAIの社内環境にある社員端末2台にインストールされた と報告されています。

OpenAIによると、その端末では

• 不正アクセス
• 認証情報を狙ったデータ流出活動

が確認されました。

ただし同社の調査では

• 顧客データがアクセスされた証拠はなし
• 露出したのは 限定的な認証情報のみ

と説明されています。

公開情報では、どの具体的なTanStackパッケージや感染経路が原因だったのかまでは明らかにされていません。

OpenAIがmacOSアプリ証明書を変更した理由

この事件を受け、OpenAIは macOSアプリの署名証明書（Apple Developer signing identity）を更新 しました。

企業がmacOSのアプリ許可リスト（allowlist）を使っている場合、設定変更が必要になる可能性があります。

管理者向けのポイントは次の通りです。

• Apple Developer Team ID：2DC432GLL2（変更なし）
• Team IDベースの許可設定なら通常は変更不要
• 証明書フィンガープリントや組織名で検証している場合は更新が必要

つまり、古い証明書を固定している環境では、新しいOpenAI署名を許可する設定が必要になります。

npm・PyPIエコシステムへの広範な影響

この攻撃が示した最大の問題は、自動パッケージ公開パイプラインそのものが攻撃対象になるという点です。

Mini Shai‑Huludは次の仕組みを悪用しました。

• CI/CD自動化
• 信頼された公開ID
• パッケージレジストリの信頼モデル

その結果、正規の署名やビルド証明を持つパッケージでも、内部のビルドパイプラインが侵害されれば悪意あるコードが公開され得ることが明らかになりました。

最大の攻撃波が終わった時点で

• 170以上のnpm / PyPIパッケージ が侵害
• 数百の悪意あるバージョン が公開
• 複数の開発エコシステムが影響

という状況でした。

開発者とOpenAIユーザーが今すべきこと

1. 2026年5月11〜12日の依存関係を確認

この期間にTanStack関連パッケージをインストールした場合、依存関係やビルドログを確認する必要があります。

2. 影響を受けたパッケージを再インストール

侵害された可能性がある場合は

• パッケージを削除
• 安全なバージョンを再インストール
• クリーン環境から再ビルド

を実施します。

3. 開発者の資格情報をローテーション

マルウェアは資格情報を狙っていたため、以下の更新が推奨されます。

• GitHubトークン
• npm / PyPI公開トークン
• クラウド認証情報
• CI/CDシークレット

4. GitHub Actionsの公開設定を監査

OIDCを使った trusted publishing 設定 が適切に制限されているか確認することが重要です。

5. OpenAI macOSアプリの許可設定を更新

企業環境では、OpenAIアプリの署名証明書が更新されているため 最新の署名IDを許可しているか確認 してください。

この事件が示したサプライチェーンの現実

Mini Shai‑Huludは、攻撃者が本番システムではなく 開発インフラそのもの を狙う時代に入ったことを象徴する事件でした。

さらに重要なのは、正規署名やビルド証明が付いたパッケージでも安全とは限らないという点です。ビルドパイプラインが侵害されれば、信頼された配布経路そのものがマルウェアの拡散経路になってしまいます。

オープンソース依存が多い開発チームにとっては、依存関係の監視、ビルド環境の隔離、インシデント後の迅速な資格情報ローテーションが、これまで以上に重要になっています。