Keyv系npm侵害が444 packageへ拡大する中、GitHub、Bundler、Cloudflareがpackage／agent risk向けの多層防御を公開しました。 開発ですぐ活用できるよう整理しました。
Maintainer accountの侵害によりKeyvとCacheableのpackage群がcredential-stealing npm wormへ変わりました。8月5日までにAikidoは、月間install合計20億回超に相当する444 package・1,381 versionの侵害を報告しました。Malicious releaseには有効なGitHub Actions provenanceがあり、preinstallでBunを導入してnpm、GitHub、AWS、Kubernetes、Vault、Stripe、Slack、filesystem secretを収集し、盗んだcredentialで拡散しました。
GitHubはOpenSSF malicious-package recordをAdvisory Databaseへ取り込み、npm、PyPI、Maven、RubyGems、NuGet、Go、crates.io、Composerへ対応します。Auto-publish pipelineはOSV recordをvalidateし、GitHub由来のround tripを除外し、batch cap、commit provenance、batch単位rollbackで不正なupstream dataへ備えます。Malware alertはopt-inです。
Bundler 4.0.18はopt-in cooldownをbundle lockとbundle cacheへ拡張しました。Policy期間より新しいgem versionを避け、緊急security releaseには--cooldown 0を使えます。Signed provenance、advisory feed、release-age filterは別々のriskを減らしますが、どれも新しいartifact自体を信頼できるcodeにはしません。
Cloudflareのprivate betaであるWriteGuardはMCP writeへ同じ多層思考を適用します。Central policyがtoolごとのrisk tierを決め、handler実行前にcritical operationをblockし、human identityを保ったままagent／session attributionとscrubbed asynchronous audit eventを追加します。Harnessごとに挙動が違い、ユーザーが無効化できるclient promptはenforcementとみなしません。
Keyv系versionを検索し、setup.mjs、Math_Symbol.js、math_init.jsのindicatorを確認してclean dependencyからrebuildし、影響環境のcredentialをrotateしてください。GitHub repositoryでmalware alertを有効化し、feed provenance、batch cap、rollbackを不正advisory dataへのsafeguardとして使い、全packageの安全証明とは考えないでください。攻撃者は侵害したmaintainer accountでmainへmalicious fileをpushし、有効なGitHub Actions provenance付きKeyv系packageを公開しました。8月5日までに月間install20億回超に相当する444 package・1,381 versionが関与しました。preinstall dropperがBunを取得し、payloadはnpm、GitHub、AWS、Kubernetes、Vault、Stripe、Slack、filesystem secretを集め、GitHubとEthereum経由のfallback endpointへ送信、盗んだnpm／GitHub credentialでさらに拡散しました。
GitHubはOpenSSF malicious-packages repositoryをingestし、Advisory Databaseとopt-in Dependabot malware alertをnpm、PyPI、Maven、RubyGems、NuGet、Go、crates.io、Composerへ提供します。単一importerがOSV recordをvalidateし、ecosystem／version差とwithdrawalをnormalizeし、originがGitHub round tripのreportを除外します。Malware dataはauto-publishのため、configurable batch capが異常run全体を止め、各recordがupstream commitへ紐づき、不正batchは1 unitでrollbackできます。
Bundler 4.0.18はopt-in --cooldownをbundle lockとbundle cacheへ適用し、6月releaseで抜けたresolution pathを閉じます。Gemfile sourceは指定期間より新しいversionを避け、緊急patchは--cooldown 0で許可できます。Filterはplatformでなくgem name／versionを基準にし、古いversion番号への新platform buildでの回避を防ぎ、conflicting declarationにはwarningを出します。標準はoffでregistry defenseの代替ではありません。
WriteGuardはCloudflareのMCP tool向けshared enforcement／audit layerです。Tool別設定がread-only、minimal、contained-write、critical riskを割り当て、requestをそのまま通すかagent／session attributionを加えるか、handler実行前にblockします。Downstream actionはemployee identity／permissionを保ち、asynchronous scrubbed eventはserver、tool、risk、outcome、user、client、durationを記録します。Cloudflareはharnessごとに異なり無効化可能なclient skill／promptではなく、27 internal MCP serverを中央統制します。