ソフトウェア開発に潜む見えない脅威
現代のソフトウェアは、世界中の開発者が公開しているたくさんのオープンソースライブラリ（「パッケージ」と呼びます）を組み合わせて作られています。まるで、既製のパーツを組み合わせて素敵なプラモデルを作るような感じですね。このパーツの調達から、最終的な製品になるまでの一連の流れを「ソフトウェアサプライチェーン」と呼びます。
JavaScriptで使われる世界最大級のパッケージレジストリ「npm」には、なんと約380万ものパッケージが登録されていて、年間4.5兆回以上もダウンロードされているんですって！すごい数ですよね。
でも、残念ながら、この便利な仕組みを悪用した攻撃が急増しています。正規のパッケージに見せかけたマルウェアが紛れ込み、開発者の皆さんがインストールした瞬間に、悪意あるコードが自動で実行されてしまうケースがあるんです。人間の目で一つひとつのパッケージの中身を確認するのは、もはや現実的ではありません。気づかないうちに、皆さんの大切な開発環境が乗っ取られてしまうリスクが常に存在しているんです。
実際、2025年には「Shai-Hulud」というワーム型のマルウェアが確認され、短期間で796以上のnpmパッケージが被害を受けるという大きな事件もありました（参照元）。さらに、AIがコードを生成する時代になり、AIが能動的にパッケージをインストール・実行することで、このリスクはますます大きくなる一方です。
「どうしたら安心して開発に集中できるんだろう…？」そう感じている方も少なくないかもしれませんね。
開発者の背中を預かる「Takumi byGMO」から新機能登場！
そんな開発者の皆さんの悩みに応えるべく、GMOインターネットグループのGMO Flatt Security株式会社が「エンジニアの背中を預かる」という素敵なミッションを掲げ、セキュリティAIエージェント「Takumi byGMO」を開発しています。
「Takumi」は、セキュリティ業務に特化したAIエージェントで、ブラックボックス診断、ホワイトボックス診断、そして脆弱性の自動修正機能で、これまでも開発組織の堅牢な実装をサポートしてきました。
そしてこの度、2026年3月3日（火）より、ソフトウェアサプライチェーン攻撃対策領域へ進出する新機能「Guard」と「Runner」の提供が開始されました！これでもう、開発環境や出荷されるソフトウェアへの攻撃から、皆さんの大切なプロジェクトを守ることができるようになりますよ。
「Takumi」の詳しい情報はこちらからチェックできます。
悪意あるパッケージを水際でブロック！「Guard」機能
「Guard」機能は、まるで頼れる門番さんのよう。npmレジストリと皆さんの間に立ち、パッケージのダウンロード時にその安全性をチェックしてくれます。もし悪意のあるパッケージが見つかったら、ダウンロードをピタッとブロックしてくれるんです。
導入もとっても簡単！ターミナルでたった一行のコマンドを実行するだけで完了します。既存のコードや作業手順を変える必要がないので、すぐにでも導入できますね。これまでのセキュリティツールは、すでに利用しているパッケージの中から脆弱性をスキャンするものが多かったのですが、「Guard」機能はインストールされる瞬間に検知してくれるので、悪意あるコードが実行されるのを水際で防いでくれるのが大きなポイントです。
そして何より嬉しいのは、この「Guard」機能のうち、悪性パッケージのインストールをブロックする機能は、個人・法人問わず無料で利用できる点です！
CI/CD環境を見守り、有事の際に駆けつける！「Runner」機能
もう一つの新機能「Runner」は、ソフトウェアのビルドやテストを自動で行うCI/CD環境を守る、心強い味方です。CI/CD環境の動作を詳細に記録し、可視化してくれる実行基盤なんです。
皆さんのPCにはセキュリティソフトが入っていることが多いですが、CI/CD環境は意外と手薄になりがち。でも、実はここには本番環境へのデプロイ権限など、とても重要な情報が集まっています。「Shai-Hulud」のような攻撃でCI/CD環境が侵害されてしまった時に、何が起こったのか記録がなければ、原因を突き止めたり、再発防止策を考えたりするのは本当に難しいですよね。
「Runner」機能は、プログラムの実行、ファイルアクセス、外部との通信など、あらゆる挙動を網羅的に記録してくれます。だから、万が一の時でも、何が起こったのかを素早く特定し、迅速な対応を可能にしてくれるんです。
「Runner」機能も、設定ファイルの一行を書き換えるだけで導入可能で、GitHub Actionsとの互換性もばっちりです。法人での利用が想定されており、「Takumi」ユーザーの皆さんは追加料金なしで一定の利用枠が付与されます。
これからの開発をもっと安全に、もっと楽しく！
GMO Flatt Securityは、今回発表された機能以外にも、セキュリティエンジニアによる脆弱性診断や、クラウド型セキュアコーディング学習プラットフォームなど、開発者の皆さんをサポートする様々なサービスを提供しています。
今後「Guard」機能はnpmだけでなく、PyPI（Python）やcrates.io（Rust）など、他の主要なパッケージレジストリにも対応していく予定だそうです。また「Runner」機能には、不審な通信先へのアクセスをブロックする機能も追加されるとのこと。きっと、これからの開発がもっともっと安全に、そして安心してできるようになるでしょう。
AI時代のソフトウェアサプライチェーンを守るインフラとして、「Takumi byGMO」は、皆さんが安心して開発に専念できる環境の実現に取り組んでいくとのこと。自己学習を頑張る皆さん、新しい技術に挑戦する皆さんを「Takumi byGMO」がきっと力強く支えてくれるはずです！安心して、どんどん新しい世界を切り開いていきましょう！