#4 AIが攻撃してくる時代、OSSの信頼はどう守る？

「ソースを公開する方がリスクが高い」——そんな時代が本当に来てしまったのかもしれません。攻撃者がAIでOSSをスキャンして自動で弱点を突いてくる今、守る我々もAIで立ち向かうしかない。xz事件からHonoのAI Slop問題、TanStackのサプライチェーン攻撃、Takumi Guardのような新しい防御サービスまで、catatsuy が実体験を交えて語ります。なぜ今、狙われているのが「開発者本人」なのか。OSSに関わるすべてのエンジニアに聞いてほしい一本です。## xz* Everything I Know About the XZ Backdoor - https://boehs.org/node/everything-i-know-about-the-xz-backdoor* CVE-2024-3094 / Ubuntu security page - https://ubuntu.com/security/CVE-2024-3094## Hono - OSSにおけるAI Slop問題の何が問題なのか？* https://zenn.dev/yusukebe/articles/3fd5bc6ea341c9## TanStackのnpmサプライチェーン攻撃とGitHub Actionsの危険な権限設計* TanStack npm supply-chain compromise - https://tanstack.com/blog/npm-supply-chain-compromise-postmortem* npm staged publishing - https://docs.npmjs.com/staged-publishing/* pull_request_target の背景・リスクに関するGitHub Community discussion - https://github.com/orgs/community/discussions/179107## axios ソフトウェアサプライチェーン攻撃の概要と対応指針* https://blog.flatt.tech/entry/axios_compromise## tj-actions/changed-files CVE-2025-30066* https://www.cisa.gov/news-events/alerts/2025/03/18/supply-chain-compromise-third-party-tj-actionschanged-files-cve-2025-30066-and-reviewdogaction## Takumi Guard* https://flatt.tech/takumi/features/guard