AI駆動開発の情報漏えい対策｜MCP・npm攻撃から開発環境を守る

この記事のポイント

• AIエージェントの権限は最小にし、秘密情報は作業場所から外す
• 新しい依存パッケージはすぐ入れず、版の固定と待機で守る
• 委託先には権限・秘密情報・依存管理の運用を必ず確認する

Claude Code のような AI エージェントや MCP を使った開発は速く進みます。一方で、AI が想定外のファイルを読んだり、外部へ情報を送ったりしないか、不安に感じる担当者は多いはずです。npm の部品が改ざんされたというニュースも続き、自社の開発環境がどこまで安全か、判断しにくい状況です。

社内で AI を使うときのルールは、AIエージェント導入のリスクと社内ルール｜政府の新基準から学ぶでまとめました。この記事は開発の現場に絞ります。Claude Code・MCP・npm を使う開発環境を守る具体策と、開発を外部に頼むときの確認項目を整理します。

IPAのAIセキュリティ短信10月号の要点

要点は、AI エージェントが想定外の動きをする「逸脱行動」と、AI エージェントを通じた情報漏えい、そして AI を悪用した攻撃への注意です。IPA(情報処理推進機構)は 2026 年 10 月 16 日にAIセキュリティ短信の 10 月号を公開しました。

AI エージェントとは、指示を受けて自分で手順を考え、ファイル操作やコマンド実行まで行う AI のことです。人が一つずつ確認しない分、誤った判断や外部からの悪意ある指示がそのまま実行されるおそれがあります。開発の現場では、ソースコードや API キー(外部サービスを使うための鍵)など漏れては困る情報に AI が直接触れるため、影響が大きくなりがちです。

国内では不正アクセスの被害が過去最多のペースだと報じられています。AI で開発する会社も、開発を発注する会社も、今のうちに環境を見直す価値があります。

AIエージェントから情報が漏れる経路

主な経路は「読ませた情報が外へ出る」「外部の情報に操られる」「渡した権限で持ち出される」の 3 つです。

読ませた情報が外へ出る

AI エージェントは作業のためにフォルダ内のファイルを読みます。設定ファイルに API キーやパスワードが書かれていれば、それも読み込まれ、ログや出力、外部サービスへの送信に含まれる可能性があります。

外部の情報に操られる

Web ページや Issue、依存パッケージの説明文などに「この情報を送れ」といった指示を紛れ込ませる手口があります。AI がそれを正しい指示と取り違えると、逸脱行動につながります。

渡した権限で持ち出される

エージェントにネットワーク通信や本番環境へのアクセス権を与えていると、誤作動や乗っ取りのときに被害が広がります。経路を知っておくと、どこを閉じればよいかが見えてきます。

npm改ざん事件で何が起きたのか

正規の公開元から出たように見える形で、不正なコードが npm パッケージに紛れ込みました。npm は JavaScript の部品(パッケージ)を配布する仕組みです。GMO Flatt Security のブログなどによると、2026 年 10 月に @subql/common が改ざんされました。

攻撃者は開発元の GitHub にある CI/CD(自動でテストや公開を行う仕組み)を書き換え、その仕組みを通じて不正な版を公開したとされます。公開元そのものは本物なので、「公式から入れているから安全」という判断が通用しません。こうした部品の供給経路を狙う攻撃を、サプライチェーン攻撃と呼びます。Japan Security Summit の記事でも、同時期の動向が取り上げられています。

AI エージェントは必要な部品を自分で追加することがあるため、人が気づかないうちに改ざん版を取り込む危険があります。依存パッケージの管理は、AI 駆動開発でとくに重要な守りどころです。

MCPサーバーを安全に使うための設定

MCP サーバーは「信頼できるものだけ」「必要な権限だけ」で使うのが基本です。MCP は、AI が外部のツールやデータにつながるための共通の仕組みです(詳しくはMCPって一体何ができるの？例を用いてわかりやすく解説)。便利な反面、つなげた先が AI の行動範囲になります。

1. 出どころを確認する:提供元がはっきりしたものを選び、導入前に中身と更新履歴を見ます。
2. 読み取り専用から始める:データベースやファイル共有は、まず参照だけを許可します。書き込みは必要になってから足します。
3. 本番と開発を分ける:MCP からつなぐ先は開発用・検証用の環境にし、本番データには直接つなぎません。
4. 使う接続の一覧を持つ:誰がどの MCP サーバーを入れているか把握し、使わないものは外します。

判断に迷ったら「この接続が乗っ取られたら何が漏れるか」を考え、漏れて困るものにはつながない、を基準にします。

Claude Codeの権限と秘密情報の分け方

Claude Code には必要な操作だけを許し、秘密情報はエージェントが読める場所に置かないのが基本です。

権限の絞り方

• ファイルの編集やコマンド実行は、確認を求める設定を基本にし、自動許可は安全な操作に限ります。
• 削除や外部への送信、本番環境への接続などは許可しない設定にします。
• 作業は専用のフォルダや分離した環境で行い、関係ないファイルに触れさせません。

秘密情報の分け方

• API キーやパスワードを書いた設定ファイルは、エージェントに読ませない対象として指定します。
• 開発では権限の小さい開発用キーを使い、本番用キーは別に管理します。
• キーはリポジトリに含めず、漏れた場合にすぐ無効化できるようにしておきます。

GitHub と組み合わせた運用はClaude Code × GitHub運用：AIエージェントと協働する開発ワークフローも参考にしてください。

依存パッケージを守る3つの設定

「版を固定する」「新しい版をすぐ入れない」「インストール時の自動実行を絞る」の 3 つで、改ざん版を取り込む危険を大きく下げられます。

改ざんは公開後しばらくして発覚することが多いため、待つだけでも効果があります。パッケージ管理ツールによっては待機期間を設定できるものもあるので、使っているツールの機能を確認してください。あわせて、AI エージェントが新しい依存を追加したときは、人がレビューしてから取り込むルールにします。

開発を外部に頼むときの確認リスト

委託先には「AI にどこまで触らせているか」「秘密情報をどう分けているか」「依存をどう管理しているか」を具体的に聞きます。

• AI エージェントや MCP を使っているか、使う場合の権限の範囲は決まっているか
• 本番データや本番用キーに AI が触れない仕組みになっているか
• API キーなどの秘密情報をリポジトリに置かず、漏えい時に無効化できるか
• 依存パッケージの版を固定し、新しい依存の追加をレビューしているか
• CI/CD の設定変更に承認の手順があるか
• 事故が起きたときの連絡先と報告の期限が決まっているか

委託先の確認の進め方全体は、委託先のセキュリティをどう確認？SCS評価制度で変わる発注実務で詳しく解説しています。

axflow の視点

axflow は AI 駆動開発と AX 支援を行う会社として、中小〜中堅企業の業務システム・Web システムを開発しています。進め方は、動くモックを最短 1〜2 週間で無料で作り、そこから要件を固める「モック先行」です。モックの段階では本番データや本番用キーを使わずに進められるため、AI に触れさせる範囲を最初から小さく保てます。要件が固まった段階で、権限や秘密情報の扱い、依存パッケージの管理方針もあわせて決めていくのが現実的だと考えています。既存システムを残したまま業務改革を進める場合も、どこまでを AI に任せるかを一緒に整理できます。

よくある質問

AIセキュリティ短信とは何ですか？

IPA が公開している AI のセキュリティに関する情報です。2026 年 10 月号では、AI エージェントの逸脱行動や、AI エージェントを通じた情報漏えい、AI を悪用した攻撃が取り上げられています。

MCPを使うと情報漏えいの危険は高まりますか？

つなげる先が増えるほど、AI が触れる情報も増えます。信頼できる MCP サーバーだけを使い、読み取り専用から始め、本番データにはつながないことで危険を抑えられます。

npmのサプライチェーン攻撃はどう防げばよいですか？

ロックファイルで版を固定し、公開直後の版はすぐ入れず、インストール時のスクリプト実行を絞ることが基本です。AI が追加した依存は人がレビューしてから取り込みます。

Claude Codeに秘密情報を読ませない方法はありますか？

API キーなどを書いたファイルを読ませない対象に指定し、開発では権限の小さい開発用キーを使います。本番用キーはエージェントが届かない場所で別に管理します。

開発委託先には何を確認すればよいですか？

AI エージェントの権限範囲、本番データや秘密情報の扱い、依存パッケージの管理、CI/CD の変更承認、事故時の報告体制を確認します。書面で回答をもらうと比較しやすくなります。

まとめ

AI 駆動開発を安全に進める鍵は、AI エージェントの権限を絞り、秘密情報を作業場所から外し、依存パッケージを固定と待機で守ることです。開発を外部に頼む場合も、同じ観点で委託先を確認できます。axflow では、モック先行の AI 駆動開発や、既存システムを活かした業務改革について無料でご相談を受け付けています。開発環境の守り方を含めて検討したい方は、お問い合わせからお気軽にご連絡ください。

参考

• AIセキュリティ短信 (情報処理推進機構 IPA)
• セキュリティ関連記事 (Japan Security Summit)
• npmパッケージ改ざんに関する解説記事 (GMO Flatt Security)
• AIハッキングと情報漏えいに関する記事 (クリスタルメソッド)