- サイバーセキュリティ企業HiddenLayerは、Coinbaseの好まれるAIコーディングツール、Cursorを悪用する「CopyPastaライセンス攻撃」を発見しました。
- この脆弱性により、マルウェアがコードベース全体に静かに拡散し、バックドアを仕込んだり機密データを盗み出したりする。
- CoinbaseのCEOであるBrian Armstrong氏は、同社のコードの40%をAIが作成していることを明らかにし、さらに拡大する計画があると発表したが、批判に直面している。
CoinbaseのCEOは同社にAIツールCursorの使用を強要したかもしれませんが、サイバーセキュリティプラットフォームのHiddenLayerによると、その動きが同取引所にリスクをもたらす可能性があります。
Coinbase開発者の最も好まれるAIコーディングアシスタントが、隠されたマルウェアを植入し、組織全体を危険にさらすことができるサイバー攻撃に対して脆弱であることが、サイバーセキュリティ企業HiddenLayerの新しいレポートにより判明しました。
木曜日の夜に公開されたブログで、HiddenLayerは、この攻撃が「CopyPastaライセンス攻撃」として知られる脆弱性を介してCursorのコードエディタの弱点を暴くと書き、これは外見上は無害に見えるが、一般的な開発者ファイルに悪意のある指示を埋め込む方法であると説明しました。
HiddenLayerがCopyPasta攻撃を発見
Cursorは、開発者がコーディングを簡素化できるよう、インテリジェントな自動補完、自動コード提案、リアルタイムのエラー検出を提供します。しかし、ソフトウェアがコマンドを自動的に実行できるAuto-Runモードでは、研究者は承認なしに安全でないコマンドの実行を防ぐ meant 保護を回避する欠陥を発見しました。
HiddenLayerは、CopyPasta攻撃が、ソフトウェアライセンスのコンプライアンスに不可欠なCursor内のシステムプロンプトを利用していると指摘しました。これはGPL契約などのライセンステキストを模倣し、READMEマークダウンテキストとして偽装します。
この攻撃はまた、マークダウンファイル内の隠されたコメントと構文ベースの入力を使用して、悪意のある指示を権威ある開発者コマンドとして偽装します。
「悪意のある指示と組み合わせることで、CopyPasta攻撃は、難読化された方法で新しいリポジトリに同時に複製し、それ以外であれば安全なコードベースに意図的な脆弱性をもたらすことができます」と、HiddenLayerは開示の中で述べています。
テストでは、研究者はPythonファイルの先頭に1行のコードを挿入する無害なペイロードを使用しました。しかし、彼らは同じ方法がセキュリティ侵害の際に、バックドアの設置、機密データの盗み出し、システムリソースの消費、または本番環境の破壊に使用される可能性があると警告しました。
研究者は、例えば「Morris II」攻撃のような実験と比較しました。これは、メールエージェントがスパムを送信したりデータを漏洩させたりしながら自分自身を複製するようにだまされることを示しました。Morris IIは理論的な成功率が高かったものの、メールシステムがメッセージを送信する前に人間のレビューを必要としたため、実際には制限されていました。
HiddenLayerは、Windsurf、Kiro、Aiderなどの他のAIコーディングアシスタントも、容易には検出できない方法で、CopyPasta脆弱性を新しいファイルに伝播させると述べています。この脆弱性は、HiddenLayerとセキュリティグループのBackSlashの両方によって独立して報告されました。
Coinbaseのエンジニアは激しいAIコーディングに直面
Cryptopolitanが昨日報じたところによると、CoinbaseのCEOであるBrian Armstrongは、同社のエンジニアリングチームが業務の大部分にCursorを優先ツールとして使用しており、来年2月までに「Coinbaseのすべてのエンジニア」がそれを使用する計画であると明らかにしました。
同社のトップは、8月の後半にStripeの共同創業者であるJohn Collisonとのポッドキャストで、開発者にGitHub CopilotとCursorの使用を開始する1週間を与え、そうでなければ解雇すると語りました。
「私は独断で全員のSlackチャンネルに投稿しました。AIは重要です。皆にそれを学び、少なくともオンボーディングしてもらう必要があります。トレーニングを行うまでは毎日使用する必要はありませんが、少なくとも今週中にはオンボーディングしてください。そうでない場合、それを完了していない全員との土曜日のミーティングを開催し、なぜそうしなかったのかを理解したいと思っています」とArmstrongは推測しました。
水曜日、彼はXでAIが同社のコードの最大40%を書いていると投稿し、その数字が来月までに50%に上昇すると予想していました。
Coinbaseで書かれる日常のコードの約40%はAIによって生成されています。10月までにこれを50%以上に引き上げたいと考えています。
— ブライアン・アーモング (@brian_armstrong) 9月 3、2025
もちろん、レビューと理解が必要であり、ビジネスのすべての領域でAI生成コードを使用できるわけではありません。しかし、可能な限り責任を持ってそれを使用すべきです。 pic.twitter.com/Nmnsdxgosp
Armstrongは、AIを企業のワークフローに統合することの最も声高な支持者の一人ですが、エンジニアがAIコーディングツールの採用を義務付ける彼の主張は、一部のコミュニティメンバーには受け入れられていません。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
Florence Muchai
フローレンスは過去6年間、暗号資産、ゲーム、テクノロジー、AIに関するニュースを報道してきました。メルウ科学技術大学でのコンピュータ学およびMMUSTでの災害管理と国際外交の学習により、言語能力、観察力、技術スキルを十分に備えています。フローレンスはVAPグループで勤務し、複数の暗号資産メディアハウスで編集者として活躍しました。
