ソフトウェアサプライチェーン攻撃にどう向き合うか：ACESの8つの対応方針 - ACES エンジニアブログ

はじめに こんにちは、株式会社ACES の共同創業者 / ソフトウェアエンジニアの三田村です。 2024〜2026年にかけて、OSS パッケージや CI/CD を経由したソフトウェアサプライチェーン攻撃が増加しています。当社は Python と JavaScript/TypeScript を主な開発言語として使用し、CI/CD パイプラインやクラウドサービスに依存しているため、以前からこの問題を認識していました。 直接的なきっかけとなったのは、2026年初頭に発生した Trivy（セキュリティスキャナ）の侵害と axios（HTTP クライアントライブラリ）のメンテナー権限悪用の 2 件です。Trivy の件はセキュリティツール自体が攻撃対象になりうることを示し、axios の件は広く利用されている有名パッケージであっても依存関係の改変リスクがあることを示しました。いずれも当社の開発環境に