ChatGPTがすすめたGitHubのソフト、ウイルス入り　星も開発歴も作り物

ChatGPTに「Shopifyの店を管理できるMCPのパッケージ、いまのおすすめは？」と聞く。上位に出てきたソフトのひとつが、ウイルス入りだった。アメリカのセキュリティ会社Islandが10月13日に出した報告の話だ。

で、どこで見抜けばよかったのか。たぶん、無理だ。

問題のソフトは、GitHubに置かれていたMCPのプログラム。Shopify公式ではなく、第三者が作ったものだ。Windows、macOS、Linuxのどれでも動く。説明書きは整っていて、Shopifyとつなぐ機能も本当に動いた。中身が、本物のプロジェクトをまるごとコピーしたものだったからだ。

そこに、Redisという保存用の道具へつなぐ部品が足してあった。その部品が呼ぶ部品、さらにその先の部品と、3つ先までたどったところにRATが隠れていた。名前はMicrosoftSystem64。Googleで「shopify mcp server for Claude Desktop github」と検索したときの「AIによる概要」にも、同じものが出てきたという。

何を盗まれるのか。入り込むのは、まず偵察役だ。そのあと本体が送り込まれる。別の調査会社SafeDepの分析では、本体はブラウザ15種類に保存したパスワード、80種類を超える暗号資産ウォレットの拡張機能、Telegramのログイン情報、SSHの鍵を抜く。60秒ごとに画面も撮る。盗んだものはHugging Faceの非公開の置き場に送られていた。

星9,881、フォーク65,681　でも3分おきだった

Islandは2026年9月、同じ一味のものとみられるGitHubのプロジェクトを88件見つけた。合計の星は9,881、フォークは65,681。フォークが星の6.6倍という、普通は起きない比率だ。

中身を見ると、もっとはっきりする。あるプロジェクトでは、673回続いたフォークのうち664回が、179秒から182秒の間隔で起きていた。だいたい3分おき。別のプロジェクトでは、1,238件のフォークのうち1,231件が、たった22の組織のものだった。しかも21の組織がちょうど56件ずつ、残りの1組織が55件。人の手でこうはならない。

開発の歴史は、11秒で作れる

人気だけではない。「何年も前から作っている」という履歴も、作られていた。

あるプロジェクトがGitHubに置かれたのは2026年6月24日。なのに、いちばん古い記録の日付は2021年9月1日になっていた。コピー元の本家と、時刻もメッセージもそっくり同じだった。別のプロジェクトでは、開発の節目に見える記録が10個、11秒のうちに積まれていた。1,461行の自動実行ファイルで、57件ほどの記録をまとめて作っていた例もある。

AIにすすめられたソフトを置いたアカウントは、公開していた25件のプロジェクトを、2026年6月24日から26日の3日間で作っていた。それでも、活動は2022年4月からあるように見えていた。

Islandが7月に出した別の報告では、Claude Code、Gemini、ChatGPTの3つが、リンクを見せていないのに悪意あるプロジェクトを見つけ出し、入れ方まで説明した例が挙がっている。

ネットの評判

Yahoo!ニュースに配信されたギズモード・ジャパンの記事には、10月20日の時点で6件のコメントが付いている。多いのは、AIのおすすめも疑ってかかる時代だ、という声。通販サイトのサクラ評価を見抜けないのと同じだ、という指摘もあった。手間のかかる偽装をAIで大量に作れるようになったことを心配する人や、AIを、信用させておいて裏切る友人にたとえた人もいた。

ただ、「疑えばよかった」で片づく話なのかは、報告を読むと怪しくなる。人が怪しさを測るときに見るのは、星の数、使われている数、開発の長さ、説明の丁寧さだ。今回は、その全部が作られていた。AIが読んでいたのも、人が読むのと同じ材料だった。これは筆者の見方だが、見分け方の側が追いついていない。

ウイルスを運んでいたnpmのパッケージ ulid-xyz は、8月25日に消えた。ただ、GitHubの88件がいまどうなっているかは、Islandの報告では分からなかった。

見分け方をひとつだけ持って帰るなら、フォークの数が星の数を大きく上回っているときは、立ち止まる。今回の88件は、星9,881に対してフォーク65,681だった。