「インターネットからランダムにものを拾ってはいけない」：Chainguardが52,000のオープンソースパッケージで発見したもの

要点

• Chainguardは「グレイウェア」を、機能は透明だが許可されていない有害な動作（アクセストークンのエクスポートなど）を行うパッケージと定義。
• 新しいスキャナーは毎日10万以上のパッケージを分析し、5万2000以上のマルウェアまたはグレイウェアをブロック。
• エージェンティック開発により、非技術者でもAIエージェントが自動的に依存関係を引き込むため、人手によるレビューなしでグレイウェアが導入されるリスクが増大。
• スキャナーはパッケージがライブラリに追加される前に事前分析を行い、暴露ウィンドウを閉じる。