1週間前、ワームはRed Hatのnpmスコープに乗り込んできて、 preinstallフック経由で発火しました。今週はMicrosoftの GitHubに乗り込んできて、インストールを一切必要としませんでした。 Miasmaは、Microsoftが所有する73のリポジトリ — 公式デプロイActionであるAzure/functions-actionをはじめ — にプロジェクトスコープの設定を植え付け、開発者がClaude Code、 Cursor、Gemini CLI、またはVS Codeでリポジトリを開いた瞬間にペイロードが実行されました。トリガーはクローンではありません。あなたのエージェントで開くことがトリガーだったのです。

失敗したデプロイをデバッグするためにAzure/functions-actionをクローンする開発者はためらいません。そして向けるエージェントもためらいません。それはMicrosoft自身のAzure組織からのファーストパーティリポジトリ — エコシステムの半分がAzure/functions-action@v1 として参照する、あのGitHub Actionの正典的なソースです。審査すべきメンテナーはいません。なぜならメンテナーはMicrosoftだからです。目を凝らすべき名前もありません。なぜなら名前は本来あるべき通りに正確だからです。だからリポジトリは開かれ、エージェントはあらゆる現代的なコーディングツールがフォルダオープン時に行う通りにプロジェクトの設定を読み — そしてそれらの設定ファイルの1つがコマンドを指し、そのコマンドはおよそ4.3メガバイトの塊で、ファイルシステムをキーのために読み始めます。

私たちはこのまさに同じキャンペーンのnpm側を取り上げました、 7日前のことです。Miasmaは同じワーム — TeamPCPが 5月中旬に公開した「Mini Shai-Hulud」コードの変種 — であり、それが示す不快な事実も同じもので、もう一回転ねじを締めたものです： 評判の良いソースはセキュリティコントロールではない。それはコントロールのように感じられます。サプライチェーンアドバイスのほとんどがそれに寄りかかっています。そして6月5日、それは何ひとつ買えませんでした、しかも二重に：ネームスペースはMicrosoftのもので、そして実行はあなたがインストールを選んだパッケージから来たものではありませんでした。それはフォルダを開くことから来たのです。

MiasmaがMicrosoftのリポジトリに行ったこと。

2026年6月5日から6日にかけて、GitHubは悪意のあるコミットがプッシュされた後、Microsoftの4つのGitHub組織にまたがる73のリポジトリを無効化しました。The Hacker News とStepSecurity による詳細な分析によります。Redmond Magazine は6月8日に報じました。内訳：

Azure — 49リポジトリ。Azure/functions-action（公式の Functionsデプロイメント Action）と、.NET、Python、Java、Go、 PowerShell用の言語ワーカーを含みます。
microsoft — 10リポジトリ。
Azure-Samples — 13リポジトリ。
MicrosoftDocs — 1リポジトリ。

その形を、仕組みまで剥ぎ取ると：

侵入口は、コミットアクセスを持つ以前に侵害されたコントリビューターアカウントで、リポジトリに直接悪意のあるコミットをプッシュするために使われました — [skip ci]とタグ付けされ、さもなければ実行されたであろうCI/CDチェックをすり抜けました。
そのコミットはプロジェクトスコープの設定 — フォルダを開くとコーディングエージェントやIDEが自動的に読んで実行する類のファイル：エディタのタスク、エージェントフック、プロジェクトで定義されたMCPサーバー — を植え付けました。これは Adversa AIのTrustFallが Claude Code、Cursor CLI、Gemini CLI、Copilot CLIにまたがって実証したのと同じ類の信頼境界です — 4つすべてが、フォルダ信頼のプロンプトの直後にプロジェクト定義の設定を実行します。
ペイロード — およそ4.3 MBの難読化されたコード — は、 リポジトリがClaude Code、Gemini CLI、Cursor、またはVS Codeで開かれたとき、またはnpm testスクリプト経由で実行されたときに実行されました。クローンだけでは発火しません。 クローンしたツリーにエージェントを向けるという行為が、それを実行したのです。
実行時、ペイロードはホストをGitHubトークン、AWSキー、Azure サービスプリンシパル、GCP認証情報、npmおよびPyPI公開トークン、 SSHキー、.envファイルのためにスイープし、盗んだアクセスを使って自身を先へとコミットしました — これがそれを一回限りではなくワームたらしめているものです。

1つの詳細は深掘りする価値があります：Azure/durabletaskが攻撃を受けたリポジトリの中にあり — そしてそれは5月にすでにTeamPCP キャンペーンで侵害され、浄化されていました。一度修復されたリポジトリが、5週間後に再び汚染されたのです。浄化は、到達して維持できる状態ではありません。それは、チェーン内の別の認証情報が奪われた瞬間に転がり落ちてしまう状態なのです。

何が起きなかったかについても、同じくらい正確である価値があります。Microsoftの社内ネットワークは侵害されていません。クラウドサービスとしてのAzureも侵害されていません。顧客データも本番システムも触れられていません。これはソースコードリポジトリ に対する攻撃であり — そしてその最も広く感じられた帰結は、マルウェアそのものとは何の関係もありませんでした：GitHubが Azure/functions-actionを無効化した瞬間、Azure/functions-action@v1を参照していた地球上のあらゆるパイプラインが解決を停止したのです。 Microsoftは最も注目度の高い運び手でした。実際に乗っ取られたのは、 6月3日から5日の間にエージェントで汚染されたリポジトリを開き、自分のマシンから認証情報をスイープされた開発者たちでした。

影響を受けたMicrosoftリポジトリをコーディングエージェントで開く開発者マシン上のMiasma。以前に侵害されたコントリビューターアカウントが、プロジェクトスコープの設定 — エージェントフック、エディタタスク、MCPサーバー定義 — を植え付ける[skip ci]コミットをプッシュします。開発者はリポジトリをクローンし（何も実行されない）、Claude Code、Cursor、Gemini CLI、またはVS Codeで開きます。フォルダオープン時、エージェントはその設定を読んで実行し、4.3 MBのペイロードを実行します。これはホストをGitHubトークン、AWSキー、Azureサービスプリンシパル、npm/PyPIトークン、SSHキー、.envファイルのためにスイープし、それらを暗号化し、外に送り出し、盗んだGitHubアクセスを使って自身を次のリポジトリにコミットします。タイポスクワットなし、偽メンテナーなし、npm installなし。信頼シグナルはMicrosoftの組織名であり、実行はフォルダを開くことから来ます。

Bromure Agentic Coding内で開かれた同じリポジトリ。

Bromure Agentic Codingは、あなたのコーディングエージェントをプロファイルごとのLinux VM内で実行します — 独自のカーネル、独自のファイルシステム、独自のネットワークスタックを、AppleのVirtualizationフレームワーク上で持ちます。プロファイルは一貫した作業のスコープです：このクライアント、 この内部サービス、デプロイをデバッグするためにクローンしたこのオープンソースリポジトリ。あなたはAzure/functions-actionをそのプロファイルにクローンし、その中でエージェントで開きます。フォルダオープンのトリガーは設計通りに正確に発火します。ペイロードは実行されます。そしてそれは、到達できないホスト上のキーを探しに行きます。

なぜなら認証情報はプロファイル内にないからです。VMはスタブ — git、gh、aws、kubectl、npm、その他Authorizationヘッダーを期待する何にでも本物に見える偽トークン — を出荷します。あなたの Mac上のプロキシがサンドボックスから出ていくすべての接続の前に座り、スタブを認識し、リクエストが出ていく際にワイヤ上でそれを本物の秘密と入れ替えます（鍵を握っていたサンドボックスがその仕組みを解説しています）。本物のGitHub PAT、本物のAWSキー、本物のAzureプリンシパル — それらのどれも、VMが読めるファイル、環境変数、メモリのページに触れません。SSHキーはmacOSのキーチェーンから一切出ません。OpenSSHが常に意図していた通り、ssh-agent ソケットだけが転送されます。

ではMiasmaのスイープをその境界を通して歩いてみましょう。ペイロードは環境を$GITHUB_TOKENのために読み、スタブを見つけます。 ~/.awsを読み、何も見つけません。~/.npmrcを読み、公開トークンを見つけません。~/.sshを読み、キーファイルを見つけません — そこにあるのは転送されたソケットであって、ディスク上の秘密鍵ではありません。4.3 MBの塊は、書かれた通りに正確に最後まで実行されます。それはただ、あなたのキーを一度も保持していなかった箱を、重要な全てからハードウェアで強制された境界の反対側で流出させるだけです。

Miasmaがそれらに当たる順番に、3つの層。(1) サプライチェーン：プロキシはすべてのパッケージ取得をOSVとsocket.devに照らしてスキャンし、クールダウンより新しいリリースを隔離します — そのためエコシステムがまだ追いついている間、エージェントは新鮮な悪意ある依存関係を引き込むことすらできません。(2) 認証情報の仲介：VMはスタブだけを保持し、本物の秘密はプロキシの背後でホスト上に座り、ワイヤ上で入れ替えられるので、ペイロードのホストスイープはプレースホルダーを見つけます。(3) Guardrails：ワームの伝播ステップ — 自身を先へコミットするためのgit push — は状態を変える呼び出しであり、読み書きguardrailがそれをワイヤ上で止めて、動詞とターゲットを名指しして尋ねます。各層はエージェントの下、エージェントが迂回できないVM境界で強制されます。

伝播ステップは書き込みであり、書き込みはプロンプトを受ける。

キーを盗むことはMiasmaの半分にすぎません。もう半分は拡散です：それは盗んだGitHubアクセスを使って自身を次のリポジトリにコミットし、それが一握りの汚染されたリポジトリを73に変えたものです。正当にpushアクセスを持つプロファイルの中であっても — たとえばあなたがPRを出すつもりでfunctions-actionをクローンしたとしても — ワームの伝播ステップは依然としてプロキシを通って出ていかねばならず、そこでGuardrailsがそれを迎え撃ちます。

Guardrailsは接続だけでなく操作を読みます — 読み取りと書き込みを見分けます。git fetchは読み取り、git pushは書き込みです。プロファイルのGitHub認証情報を書き込み時に尋ねるに設定すると、エージェントが状態を変える呼び出しに手を伸ばした瞬間 — ワームが自身の設定を書き戻すのに必要なgit-receive-pack、APIに対する DELETE、EC2へのTerminate* — Bromureはそれをワイヤ上で止め、動詞、ターゲット、プロファイルを名指しするプロンプトをあなたのMac 上に表示します。あなたが与える付与は時間制限付きです：リリースには 15分、恐ろしいものには単回限り、要求が意味をなさなければ決して。読み取りはあなたを中断しません。エージェントは一日中fetchしgrepし読みます。一時停止するのは変更なのです。

これは「エージェントがトークンを持っている」と「エージェントがそのトークンで何でもできる」の違いです。Miasmaの拡散メカニズム全体は、エージェントが行うと一度もあなたに告げなかった書き込みであり — そしてエージェントが行うと一度も告げなかった書き込みこそ、読み書きプロンプトが捕まえるために作られたまさにそのものです。ワームを伝播させるpushは、あなたが許可しないをクリックするダイアログボックスになります。「エージェントが本番データベースを削除した」が事後検証であることをやめ、あなたが拒否したプロンプトになるのと同じ仕方で。

バージョンは数時間前のもので、Bromureはパッケージを熟成させる。

Miasma — そしてより広範なMini Shai-Hulud系統 — が開発者に到達する 2つ目の方法があります：あなたが開くリポジトリ経由ではなく、エージェントが作業中にインストールする新鮮に汚染された パッケージ経由です。このキャンペーンのRed Hat側がまさにそれで、信頼されたスコープの32パッケージにかかったpreinstall フックでした。そしてそれらのインシデントの残酷な詳細はタイミングです：侵害されたバージョンは典型的に数時間以内に捕まえられて撤回されます — しかしまさにその数時間こそ、無人で実行される自律エージェントがそれを引き込みかねない時間なのです。

Bromureのサプライチェーン層は、同じ境界プロキシをスキャンチェックポイントに変え、当日侵害に対して実際に重要な2つのことを行います：

すべての取得をOSVに加えてsocket.devに照らして強制スキャンします。 OSVは、あなたが設定した深刻度しきい値を超える既知の CVEを捕まえます。socket.devは、脆弱性データベースがまだ追いついていないもの — 不正なインストールスクリプト、振る舞い型マルウェア、タイポスクワット、公開されたばかりの侵害 — を捕まえます。フラグの立ったリリースは、tarballがVMに着地する前にブロックされます。決定的なのは、スキャンがエージェントの下、プロキシで実行されることです：エージェントが自身の設定をどう書き換えてあなたを迂回しようとも、取得は依然として越えられない境界を通って出ていくのです。
クールダウンを強制します。 Bromureは、過去2日以内に公開されたあらゆるリリースを隔離します — 調整可能 — そのため1時間前にアップロードされたバージョンは、エコシステムが追いつく間、そのプロファイルでは単にインストール不可能です。機会の窓全体が公開と撤回の間の隙間であるワームに対して、クールダウンはパッケージが悪く見えるかどうかについてのヒューリスティックではありません。それは、最初に見つける役を引き受けることへの拒否です。Bromureがオンザフライで行うインストールスクリプト除去 — tarballからpostinstallフックを引き抜き、インストールが依然として検証されるようメタデータハッシュを修正する — と組み合わせれば、着地するパッケージは無害化されて着地します。

Miasmaに固有には、リポジトリオープンのベクターが見出しです。しかし同じキャンペーンはパッケージ経由でも拡散し、クールダウンこそがそのnpm側を飢えさせたであろうコントロールです：新鮮な @redhat-cloud-servicesリリース、あるいはそのMicrosoftリポジトリをデバッグ中に引き込まれた新鮮に汚染された推移的依存関係は、それが危険であるまさにその数時間を通して隔離の中に座ります。

残しておく価値のある部分

Miasmaはタイポスクワットも、偽メンテナーも、npm installさえも必要としませんでした。それが必要としたのは、信頼されたMicrosoft リポジトリと、それをエージェントで開いた開発者でした。3つのことが積み重なって結果を変え、そのどれもリポジトリが悪いと気づくことに依存しません：本物の認証情報はブローカーの背後でホスト上に住むので、ホストスイープはスタブを持ち去る。伝播のpushは書き込みなので、プロンプトのために一時停止する。そして新鮮な悪意あるパッケージは、クールダウンを抜けて熟成するまでそもそもインストールできない。境界が、信頼シグナルにはできなかった仕事をするのです。

アップデート — 2026年6月

Bromure Agentic Coding 2.4.0は、Miasmaの侵入クラス — フォルダを開いた瞬間にコーディングエージェントが読み、従うファイル — に真正面から向けられた4つ目のレイヤーを追加しました。ルールファイル — CLAUDE.md、AGENTS.md、GROK.md — は、決定論的なパス（不可視Unicode、双方向テキストのトリック、「以前の指示を無視せよ」式のメタ指示）に加え、冷静な言い回しの種類を捕らえるファインチューニング済みのModernBERT分類器によってオンデバイスでスキャンされ、PromptGuard分類器が、エージェントが取り込む残りのもの — ファイルの読み取り、取得したページ、ツールの出力 — を、そこにあるべきでない指示についてスコアリングします。プロファイルごとに：ログ、確認、またはブロック — モデルがそのどれかに基づいて行動する前に。汚染されたリポジトリは今や、その指令をエージェントの下で動くスキャナー — ほかの3つのレイヤーが住むのと同じ場所 — に通さなければならないのです。

これがあなたを救わない場所。

あなたが承認するpushは、起きるpushです。

読み書きguardrailは、エージェントがあなたに告げなかった書き込みを捕まえます。それはdiffを読みません。あなたが正当に functions-actionにpushしていて、プロンプトを承認するなら、 Bromureはそのpushを転送します — 原理的には、あなたがdiffで気づかなかった汚染されたワークフローを含めて。承認するものを読んでください。セッショントレースが、どのdiffを読むべきかを教えてくれます。

クールダウンは窓であって、壁ではありません。

2日は観測された公開から撤回までの隙間に合わせて調整されていますが、忍耐強い攻撃者はクールダウンより長く侵害されたバージョンに座り続け、それでも3日目にはインストール可能になり得ます。クールダウンは当日ワームを飢えさせます。それは単に古くなっただけのパッケージを保証するものではありません。socket.devとOSVが依然としてそれぞれの役割を果たさねばなりません。

プロファイルは長命なので、持続化は持続します。

Bromureプロファイルは使い捨てのディスクではありません。プロファイル内のスタートアップパスに自身を書き込むペイロードは、そのプロファイルでの次のセッションまで生き残れます。それが目覚めるのは、ホストキーのないゲストと、短命でプロンプトされ、スコープ制限されたトークンしか話さないブローカーです — 何も入っていない箱の中での存在 — しかしそれでも存在です。

意図的にブローカーのスコープを定めてください。

あるプロファイルが今日あるリポジトリにpushするようプロビジョニングされていて、そのプロファイルが今日Miasmaを実行するなら、承認された書き込みは通ります。ブローカーの付与が機能するのは、それが狭いからです。リポジトリを読むだけでよいプロファイルはそれに書き込めるべきではありません。決して公開しないプロファイルは公開トークンを保持すべきではありません。隔離は被害を封じ込め、スコープ定めはそれがそもそもどれだけ大きくなり得たかを決めます。

次の信頼されたリポジトリは、すでにどこかにクローンされている。

TanStackワームの教訓は、ロックファイルと署名は防御ではないということでした。 Red Hatスコープの教訓は、公開者もまた防御ではないということでした。Microsoftは次の系を加えます：リポジトリもまた防御ではなく、そしてトリガーはあなたが選んだインストールである必要さえない — それはあなたのエージェントが開いたフォルダであり得る。Azure/functions-action リポジトリは、信頼されることで何も悪いことをしませんでした。信頼されることは正典的なファーストパーティ Actionの全ての目的であり、それこそがそれを汚染する価値のあるものにしたまさにそのものです — durabletaskの場合は二度も。

あなたはそれを、もっと注意深く信頼することでは直せません。なぜなら信頼は決して見当違いではなかったからです。あなたは、「これはどのリポジトリか」と「どのスコープがこれを公開したか」があなたのキーチェーンが依存する質問でなくなるように物事を配置することで、それを直します。Bromure Agentic Codingは、エージェントがプロファイルごとのVM内でリポジトリを開き、本物の認証情報がブローカーの背後でホスト上に留まり、エージェントが行うすべての書き込みがプロンプトを通り抜けねばならず、パッケージはクールダウンを生き延びるまでインストールできない、そんな設定です。汚染されたフォルダオープンにできる最悪のことは、あなたのキーを一度も保持していなかった箱を流出させることです。無料、オープンソース、そして今日出荷されています。