セキュリティ
GitHubの内部リポジトリ約3800件が流出した経路が判明した
VS Code拡張機能の偽バージョンを踏んだ社員1人。それだけで、世界最大のコードホスティングプラットフォームの内部コードが外に出た。 18分間の窓 5月18日、Nx Console 18.95.0の改ざん版がVisual Studio Marketplaceに公開された。そのまま残っていたのは18分間だった。 短い。しかし十分だった。 GitHubの社員が、この拡張機能をインストールした。拡張機能は起動時に静かに動き出し、シェルコマンドを実行した。表向きは「MCPのセットアップタスク」を装ったそのコマンドは、Nxの公式GitHubリポジトリに仕込まれたコミットから隠しパッケージを引き出した。収集されたのは、1Passwordのボールト、npm・GitHubのトークン、AWS認証情報、AnthropicのClaude Codeの設定ファイル（~/.claude/settings.json）だ。 奪った認証情報を使い、攻撃者はCI/CDパイプラインを横移動し、GitHubの内部リポジトリ約3800件を外部に持ち出した。公開から 18分間 で、それだけの被害が確定した。 ウェ
