セキュリティ事故分析「JetBrains悪性AIプラグイン事件」と非保持型権限委譲

2026年6月、JetBrainsがMarketplaceで公開していた15個のAIプラグインが、ユーザーの入力したAIプロバイダのAPIキーを盗むために開発されていたことが明かされました。これらのプラグインはコード補助、レビュー、テスト生成といった正規のAI機能を装いながら、ユーザーが設定画面に入力したAPIキーを正規の設定情報として保存する傍ら、攻撃者のサーバーに同時送信していました。さらに悪質なことに、盗んだキーを有料ユーザーに再販売するビジネスモデルまで構築されていたようです。攻撃者は無料ユーザーから集めたキーを有料ユーザーに配布し、APIコスト負担をシフトさせていました。

この事件で最も恐ろしい点は、プラグインが行った個別の処理がすべて「正規の動作」だということです。設定画面の表示、APIキーの入力受け取り、設定情報の保存、外部サーバーへの通信——これらはすべて正当で誠実なプラグインでも必ず必要な機能です。つまり「何をしているか」という動作レベルでは悪意を検出できず、「何のために何をしているか」という意図の層でしか見分けられない。正規機能と悪性動作の差が小さい以上、公開前の審査ですべてをチェックすることには根本的な限界があります。JetBrainsは該当プラグインの削除やMarketplace審査ルール強化で対応しましたが、AIの鬼から見ると、これは「検査で防ぐモデルの終わり」を鮮明に示しています。

本当の解決策は、プラグインにAPIキーを渡さないという設計への構造的転換です。記事に記載された「非保持型権限委譲」という考え方では、プラグイン自体が秘密情報を持たず、代わりに分離されたブラウザ環境を経由してAIサービスにアクセスします。プラグインが悪意を持っていても、それが盗める情報は「再利用不可能な一時的な認証情報」だけになり、別端末からの横展開が実質的に防げます。この思想は、SaaS時代の権限管理が「人間による事後チェック」から「悪意を前提とした構造設計」へシフトしたことを意味しています。

中小企業の現場では、ChatGPTやClaude連携ツール、AIプラグインの導入が急速に進んでいます。このニュースは「APIキーをツール側に預ける」という当たり前の習慣が本当は危険だということを教えています。クラウドサービス連携ではどうしてもAPIキーが必要になりますが、人間による事後的な検査だけでは防げない悪意も存在します。ベンダーの審査ルール強化に頼るのではなく、自社のシステム設計（例：アクセス権限の分離、監査ログの自動追跡、APIキーを行き来させない仲介層の導入）で防衛線を張ることが不可欠です。外部ツール導入の際には「このツールにどの権限を預けるのか」を改めて問い直す必要があります。