AI/開発トレンド: pnpmで複数の重大なパス・トラバーサル脆弱性が発覚

  • pnpm
  • Nezha Dashboard
  • LangChain
  • Next.js
  • Godcoder
  • Browser-BC
  • Deepseek-API

本日の AI/開発ツール トピックス (2026-06-29)

1. 📋 本日のまとめ

💡 今日のポイント

  • 人気パッケージマネージャ「pnpm」で、悪意あるコードをシステムに仕掛けられる脆弱性が相次いで発見されました
  • 完全ローカルで動作し、ソースコードが外部に漏れないAIエージェント「Godcoder」が注目を集めています
  • 最新のAIモデル「GLM 5.2」が、セキュリティ関連の性能テストでClaudeを上回る結果を出しました

本日の開発トレンドにおいて最も警戒すべきは、Node.jsエコシステムで広く利用されているパッケージマネージャ「pnpm」に関する一連のセキュリティ勧告です。configDependenciesやstage downloadの処理、およびエイリアスの解決処理において、パストラバーサル（ディレクトリトラバーサル）の脆弱性が複数報告されました（GHSA-qrv3-253h-g69c、GHSA-v23m-ccfg-pq9h、GHSA-fr4h-3cph-29xv等）。これらは、悪意のあるpnpm-lock.yamlを含むリポジトリをpnpm installしただけで、意図しないディレクトリにファイルを書き込まれたり、システムファイルが削除されたりする恐れがあり、非常に重大です。また、Nezha Dashboardにおける認証情報の漏洩脆弱性（GHSA-ww5p-j6cj-6mqq）も公開されており、インフラ管理者は直ちに対応が必要です。 一方、AI分野では、外部プロバイダーにコードを送信せず完全ローカルで動作するAIコーディングエージェント「Godcoder」がGitHubで急上昇しており、企業のセキュリティ要件に合致するローカルAIツールへの需要の高まりが見られます。モデル自体の進化も続いており、「GLM 5.2」がサイバーセキュリティ分野のベンチマークにおいてClaudeを凌駕したという報告が話題を呼んでいます。

2. 🚨 緊急セキュリティ情報

pnpm - configDependencies におけるパストラバーサル (GHSA-qrv3-253h-g69c)

  • 🔰 ひとことで言うと: 誰かが作った危険なプロジェクトをダウンロードしてインストール（pnpm install）するだけで、パソコン内の意図しない場所にファイルが作成される恐れがあります。
  • 内容: pnpmがpnpm-lock.yamlのconfigDependenciesセクションを解析する際、パッケージ名に対するディレクトリトラバーサルの検証が不十分な脆弱性です。悪意のあるリポジトリがpnpm-lock.yaml内に../../PWNED_CFGDEPのような相対パスを含むパッケージ名を設定していると、pnpmはそれをそのままファイルパスとして解釈し、本来のnode_modules/.pnpm-configディレクトリの外側にシンボリックリンクを作成してしまいます。この攻撃は--ignore-scriptsオプションを指定していても防ぐことができず、被害者はただ不正なプロジェクトでpnpm installを実行するだけで被害に遭います。
  • リスク度: 高 (CVSS: 3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:L - スコア 8.2)
  • 📊 影響の大きさ:
    • 影響を受ける人: pnpmのv10.34.4未満、またはv11.8.0未満のバージョンを使用して、信頼できないリポジトリやパッケージをインストールする開発者。
    • 悪用の容易さ: 攻撃者は細工したpnpm-lock.yamlを含むリポジトリを公開するだけでよく、非常に容易に攻撃が可能です。
  • 対象バージョン/環境: pnpm < 10.34.4, pnpm >= 11.0.0, < 11.8.0
  • 対策・ステータス: バージョン10.34.4および11.8.0にて修正済み。パッケージ名に絶対パスや..等のディレクトリ移動文字が含まれている場合に拒否する検証ロジックが追加されました。
  • 🛡️ まずやるべきこと: pnpmを最新の安全なバージョン（11.8.0以降または10.34.4以降）に直ちにアップデートしてください。アップデートするまでは、素性が不明なリポジトリでpnpm installを実行しないでください。
  • 詳細リンク: GHSA-qrv3-253h-g69c

pnpm - patch-remove 実行時の任意のファイル削除 (GHSA-72r4-9c5j-mj57)

  • 🔰 ひとことで言うと: プロジェクトに仕込まれた罠を踏むと、pnpm patch-removeコマンドを実行した際に、パソコン内の重要なファイルが勝手に削除される危険があります。
  • 内容: pnpmのpatch-removeコマンドにおける削除スコープの脆弱性です。細工されたパッチエントリ（patchedDependenciesのパス）が、設定されたパッチディレクトリの外部を指すように相対パス（../など）を含んでいる場合、pnpmは外部のファイルを正規のパッチファイルと誤認し、pnpm patch-remove実行時にそのファイルを削除（unlink）してしまいます。
  • リスク度: 高 (CVSS: 3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L - スコア 7.1)
  • 📊 影響の大きさ:
    • 影響を受ける人: pnpmのv10.34.4未満、またはv11.7.0未満のバージョンを使用して、pnpm patch-removeコマンドを実行する開発者。
    • 悪用の容易さ: パッケージ利用者にpatch-removeを実行させる必要があるため、前項の脆弱性よりは攻撃のハードルが一段上がりますが、ソーシャルエンジニアリングと組み合わせることで悪用可能です。
  • 対象バージョン/環境: pnpm < 10.34.4, pnpm >= 11.0.0, < 11.7.0
  • 対策・ステータス: バージョン10.34.4および11.7.0にて修正済み。対象となるファイルがパッチ用ディレクトリ内に含まれているかを厳密に検証するロジックが追加されました。
  • 🛡️ まずやるべきこと: pnpmを最新版（11.8.0等）にアップデートしてください。
  • 詳細リンク: GHSA-72r4-9c5j-mj57

pnpm - stage download 実行時の任意のファイル上書き (GHSA-v23m-ccfg-pq9h)

  • 🔰 ひとことで言うと: 特定のダウンロードコマンドを使った際に、設定ファイルに仕組まれた罠によって、無関係なファイルが上書きされる恐れがあります。
  • 内容: pnpm stage downloadコマンドがローカルのファイル名を決定する際、レジストリから取得したパッケージ名やバージョン情報を十分にサニタイズ（無害化）せずに利用している脆弱性です。マニフェストファイルに../のようなトラバーサル文字列が含まれていると、指定されたダウンロードディレクトリの外側にファイルが書き出され、システム上の既存ファイルを上書きしてしまう可能性があります。
  • リスク度: 高 (CVSS: 3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L - スコア 7.1)
  • 📊 影響の大きさ:
    • 影響を受ける人: pnpmのバージョン11.3.0〜11.5.2を使用している開発者。
    • 悪用の容易さ: 細工されたマニフェストを持つパッケージに対してstage downloadを実行させる必要があります。
  • 対象バージョン/環境: pnpm >= 11.3.0, < 11.5.3
  • 対策・ステータス: pnpm v11.5.3で修正済み。パッケージ名とバージョン情報を厳密に検証し、クロスプラットフォームでのパス区切り文字を拒否する修正が適用されました。
  • 🛡️ まずやるべきこと: pnpmを最新版にアップデートしてください。
  • 詳細リンク: GHSA-v23m-ccfg-pq9h

Nezha Dashboard - APIを通じた認証情報の大規模漏洩 (GHSA-ww5p-j6cj-6mqq)

  • 🔰 ひとことで言うと: サーバーの管理画面のシステムに欠陥があり、設定されているCloudflareなどの連携用パスワードが丸見えになる危険があります。
  • 内容: サーバー監視ダッシュボード「Nezha Dashboard」のAPIにおける機密情報漏洩の脆弱性です。GET /api/v1/ddns および GET /api/v1/notification エンドポイントが、データベース上の完全なリソースオブジェクトをフィルタリングせずにそのまま返却してしまいます。このため、CloudflareのAPIトークン、TencentCloudのSecretKey、Slack/DiscordのWebhook URL（ボットトークンを含む）、Authorizationヘッダーの値など、サードパーティ連携用の認証情報がプレーンテキストで流出します。
  • リスク度: 中 (CVSS: 4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P - スコア 5.5)
  • 📊 影響の大きさ:
    • 影響を受ける人: Nezha Dashboard (v2.2.5未満) の管理者、およびそのシステムに連携されている外部サービスの所有者。
    • 悪用の容易さ: 攻撃には管理者セッションの乗っ取り、またはnezha:ddns:read等の読み取り権限を持つPAT（Personal Access Token）の取得が必要です。権限さえ得られれば、APIを一度叩くだけで全情報が抜き取れます。
  • 対象バージョン/環境: github.com/nezhahq/nezha < 2.2.5
  • 対策・ステータス: バージョン2.2.5にて修正済み。
  • 🛡️ まずやるべきこと: Nezha Dashboardを最新版（v2.2.5以上）にアップデートしてください。過去に漏洩した可能性がある場合、CloudflareやSlack等の連携用APIキーをローテーション（再発行）することを強く推奨します。
  • 詳細リンク: GHSA-ww5p-j6cj-6mqq

3. 🚀 メジャーリリース・新機能

LangChain Core - v1.4.8

  • 🔰 ひとことで言うと: AIアプリを作るための人気ライブラリのコア部分が更新され、より安定して動くようになりました。
  • 👥 誰に影響があるか: LangChainを使ってAIエージェントやRAGアプリを開発しているPythonエンジニア。
  • 新機能の概要: langchain-coreのv1.4.8がリリースされました。バグ修正やコアコンポーネントの安定性向上が含まれています。
  • 技術的ブレークスルー: 内部APIのインターフェースの洗練と、実行時のパフォーマンス改善が主なトピックです。
  • 開発フローへの影響: 既存のコードに大きな破壊的変更はないと見られますが、最新のモデルやツール連携を利用するための基盤がアップデートされています。
  • 公式サイト/リリースノート: LangChain GitHub

LangGraph - v1.2.6

  • 🔰 ひとことで言うと: 複数のAIが協力して複雑な仕事をする仕組みを、より簡単に作れるツールの最新版です。
  • 👥 誰に影響があるか: 複雑なワークフローを持つ自律型AIエージェントを構築している開発者。
  • 新機能の概要: ステートマシンベースのエージェント構築フレームワークlanggraphのv1.2.6がリリースされました。
  • 技術的ブレークスルー: マルチエージェント機能の強化や、グラフ定義時の型ヒント・エラーハンドリングの改善が含まれています。
  • 開発フローへの影響: より複雑な「考えるAI」のフローを、可読性の高いコードで安全に記述できるようになります。
  • 公式サイト/リリースノート: LangGraph GitHub

Next.js - v16.2.9

  • 🔰 ひとことで言うと: 世界中で使われているWebサイト作成ツールの最新マイナーアップデートが配信されました。
  • 👥 誰に影響があるか: ReactおよびNext.jsを使用してWebフロントエンドを開発しているフロントエンドエンジニア。
  • 新機能の概要: Next.js v16.2.9がリリースされました。最新のReactエコシステムとの互換性向上や、パフォーマンスチューニングが含まれています。
  • 技術的ブレークスルー: App Routerのレンダリング最適化や、ビルド時間の短縮につながる内部キャッシュの改善が行われています。
  • 開発フローへの影響: マイナーアップデートのため、開発者は容易にアップグレード可能であり、デプロイ時のパフォーマンス向上が期待できます。
  • 公式サイト/リリースノート: Next.js GitHub

4. 🔥 注目のトレンドツール

Godcoder

  • 🔰 ひとことで言うと: 会社の機密コードを外に漏らさず、自分のパソコンの中だけで動く、安全でオープンソースなAIプログラミング助手です。
  • 💡 こんな人におすすめ: クラウド上のAIに自社のソースコードを送信できないセキュリティ要件の厳しい企業のエンジニアや、ローカルLLMを好む開発者。
  • 概要: Godcoderは、ローカルファーストなオープンソースのコーディングAIエージェントです。ユーザーが自身のLLM APIキーを持ち込む（BYOK: Bring Your Own Key）か、ローカルモデルを使用することで、ソースコードが勝手に外部のプロバイダーに送信されるのを防ぎます。
  • 注目の理由・背景: GitHub CopilotやCursorなど、強力なAIアシスタントの多くはクラウドにコードを送信します。しかし、エンタープライズ環境や機密性の高いプロジェクトではデータの外部流出（オプトアウト忘れによる学習利用など）が懸念されており、「コードが手元にとどまる」ローカルAIエージェントの需要が急増しています。
  • 主な機能・用途: デスクトップ環境で動作し、ファイルの読み書き、ターミナル操作、コードの自動生成と修正を自律的に行います。LLMには必要なコンテキストのみを限定的に送信するアーキテクチャを採用しているとみられます。
  • 他の類似ツールとの比較: CursorやDevinがフルマネージドでクラウド依存であるのに対し、Godcoderはローカルホストに重きを置いており、透明性とデータ制御の面で優れています。
  • 公式サイト/GitHub: Godcoder GitHub Repository

Browser-BC

  • 🔰 ひとことで言うと: AIがブラウザを自動で操作するための「お手本」となる人間の操作を、効率よく収集・学習させるためのツールです。
  • 💡 こんな人におすすめ: Webブラウザを自動操作するAIエージェントを開発している研究者や、複雑なWeb操作の自動化（RPA）を目指すエンジニア。
  • 概要: Browser-BCは、一般的なGUIの利用（ブラウザ操作など）をターゲットとした、エージェント行動のクローン（Behavior Cloning）ツールです。分散環境でのトラジェクトリ（行動履歴）の収集機能などを備えています。
  • 注目の理由・背景: Anthropicの「Computer Use」機能などに代表されるように、AIが直接GUIを操作する「Agentic AI」がトレンドの最前線にあります。AIに正しい操作を教えるためには大量の「人間の操作データ」が必要不可欠であり、その収集インフラとして注目を集めています。
  • 主な機能・用途: ユーザーのブラウザ操作（クリック、スクロール、タイピングなどのDOMイベント）を記録し、AIモデルの訓練データ（行動クローニング用データ）としてフォーマット化して保存します。
  • 公式サイト/GitHub: Browser-BC GitHub Repository

Deepseek-API

  • 🔰 ひとことで言うと: 話題の高性能AI「DeepSeek」のWebチャット画面を、プログラムから自動で利用できるように変換する非公式ツールです。
  • 💡 こんな人におすすめ: DeepSeekのV4やR1モデルを、自作のアプリやスクリプトからAPIキーなしで手軽に呼び出して試したいハッカーや開発者。
  • 概要: DeepseekのWebチャットインタフェースをリバースエンジニアリングし、OpenAI互換のREST APIとして提供するプロジェクトです。
  • 注目の理由・背景: 中国発のDeepSeekは、非常に低コストでありながらGPT-4クラスに匹敵する性能（特にコーディング能力）を示すことで話題ですが、APIの利用制限や課金の手間を回避して、既存のOpenAIエコシステムのツール（LangChainなど）から直接利用したいというハッカーのニーズを捉えています。
  • 主な機能・用途: ローカルサーバーとして立ち上げることで、Webチャットのバックエンドをラップし、/v1/chat/completions のようなOpenAI標準のエンドポイントを提供します。これにより、APIキーの登録や課金なしでモデルを呼び出すことが可能になります（※非公式な利用法であるため、サービス利用規約に注意が必要です）。
  • 公式サイト/GitHub: Deepseek-API GitHub Repository

5. 💡 その他・Tips

GLM 5.2 がサイバーセキュリティ性能でClaudeを圧倒

Hacker Newsのトップトレンドにて、Semgrepチームによる「GLM 5.2」のサイバーセキュリティベンチマーク結果が話題となっています。GLM 5.2は、脆弱性検知やコード監査のタスクにおいて、これまで業界トップクラスであったClaudeシリーズを上回るスコアを記録したと報告されています。特定ドメインに特化した小〜中規模モデルや、新規アーキテクチャのモデルが、汎用巨大モデルを凌駕する「ドメイン特化型AI」のトレンドが加速しています。

Claude Codeの医療分野への応用例（MRI解析）

AIコーディングアシスタント「Claude Code (Opus)」を用いて、開発者が自身のMRI画像のセカンドオピニオンを取得したという事例がHacker Newsで共有され、議論を呼んでいます。AIエージェントが単なるコード生成を超え、画像認識（マルチモーダル）と論理推論を組み合わせて高度な専門分野のアシストを行う実例として、開発者の関心を集めています。

6. 📝 総評

📌 今日の一言まとめ AIエージェントがローカル環境で自律的に動くようになる一方で、pnpmのような身近なツールの脆弱性を突いた攻撃リスクが高まっています。開発環境のアップデートは怠らないようにしましょう。

本日は、開発インフラの根幹を成す「pnpm」に関する大量のディレクトリトラバーサル脆弱性が公開されたことが最大のエポックメイキングな出来事です。これまで「npm auditやpnpm auditを実行して依存パッケージの脆弱性を直す」ことは常識でしたが、今回は「パッケージマネージャそのもの」の挙動を突いて、不正なファイルをダウンロードした「瞬間」または「削除しようとした瞬間」にシステムを侵害されるという、サプライチェーン攻撃の新たな形を突きつけられました。

一方AIトレンドに目を向けると、「Godcoder」や「Browser-BC」のように、「人間がAIにコードを書かせる」フェーズから、「AIがローカルPC上で直接ブラウザを操作し、ファイルを読み書きする（Agentic AI）」フェーズへの本格的な移行が見て取れます。AIがローカル環境の権限を持って自由に動くようになるこれからの時代において、前述のpnpmのようなローカル環境のディレクトリトラバーサル脆弱性は、AIエージェントを踏み台にしたサンドボックスエスケープ攻撃に直結する非常に危険な要素となります。「AIがツールを安全に使えるか」という観点でも、ツール側の厳密なパス検証・セキュリティ境界の設定がこれまで以上に重要になっていくでしょう。

7. 📖 用語解説

用語 解説
パストラバーサル (ディレクトリトラバーサル) プログラムの抜け穴を突いて、本来アクセスしてはいけないフォルダ（ディレクトリ）に勝手に移動し、ファイルを盗んだり改ざんしたりするサイバー攻撃の手法です。例えるなら、ホテルの「1階のロビー」しか立ち入れないはずの客が、案内板の表記を偽造して「従業員専用の地下室」に入り込むようなものです。
シンボリックリンク パソコン上にあるファイルやフォルダの「分身（ショートカット）」を作る機能です。今回のpnpmの脆弱性では、このショートカットの行き先を勝手にシステム上の重要なファイルに向けられてしまうことが問題視されました。
CVSS (共通脆弱性評価システム) 発見されたセキュリティの弱点（脆弱性）が「どれくらいヤバいか」を0から10の点数で評価する世界標準の採点システムです。7.0〜8.9は「高（High）」とされ、早急な対応が必要なレベルです。
REST API インターネット上で異なるソフトウェア同士がデータのやり取りをするための「標準的なルール」の一つです。URLにアクセスすることで、天気予報を取得したり、AIにメッセージを送ったりできます。
ローカルファースト データや処理をクラウド（インターネットの向こう側のサーバー）に送るのではなく、自分の手元のパソコン（ローカル）で優先して完結させる設計思想のことです。機密漏洩のリスクが減るメリットがあります。
BYOK (Bring Your Own Key) 「自分で自分の鍵を持ってくる」という意味で、ITツールを使う際に、サービス提供者側が用意したAIなどの機能を使うのではなく、ユーザー自身が契約したAPIキー（パスワードのようなもの）を入力して利用する方式です。
ホイスト (Hoisting) パッケージマネージャ（pnpmなど）が、複数回重複してインストールされる予定のプログラム部品を、フォルダの一番上の階層に「引き上げて（ホイスト）」一つにまとめ、容量を節約する仕組みのことです。

(出典: 各公式サイト、GitHub、リリースノート、TechニュースサイトよりAIが要約)