「npm install」は任意コード実行のようなもの？ Trivyやaxiosへのサプライチェーン攻撃を踏まえた、開発環境への新たな向き合い方

「npm install」は任意コード実行のようなもの？ Trivyやaxiosへのサプライチェーン攻撃を踏まえた、開発環境への新たな向き合い方 （本記事はフリーランスライター 高橋睦美氏によるゲストポストです） 近年のソフトウェア開発では、ビルドやデプロイ、テストなどを手作業で行うのではなく、CI/CDパイプラインを構築し、パッケージマネージャを活用して依存するnpmパッケージなどを自動的に組み合わせて環境を構築し、リリースしていく手法が一般的だ。AIエージェントの進化によって、その傾向はさらに加速している。 しかし2025年以降、このプロセスを悪用したセキュリティインシデントが多発し、ソフトウェアサプライチェーン全体の信頼を揺るがしかねない状態となっている。 ソフトウェアサプライチェーンのセキュリティリスクが注目を集めるようになったのはこの10年あまりのことだ。Apache Log4j

[strawberryhunter]

npm, pip, uv, gem, cpanmはインストール時、nuget, Cargo はビルド時に任意コード実行が可能。mavenはプラグイン、Goはgo:generateにリスクがある。デフォルトではコード実行しないのが正しい設計だったのではないか。

[xanaduuu]

package.jsonに一行追加するのに、稟議を必要とする組織はありません。 ↑これ良いな。やると添付資料とんでもないことになりそう

[pchatsu]

via https://x.com/publickey/status/2044803357647544543

[arapro]

今回のaxiosの件を受けて.npmrcで「ignore-scripts=true」「min-release-age=3」「save-exact=true」を基本にした

[zu2]

perlのころから怖かったもんな

[nguyen-oi]

npm installが任意コード実行と同義ってのはパワーワードすぎる。開発環境の信頼モデルが崩壊しつつあるな