何が起きたのか
2026年5月、AI分野で人気のPythonパッケージ2つが、悪意あるコードを含む形でPyPIに公開されました。
- guardrails-ai 0.10.1：5月11日（太平洋時間18時ごろ）に公開。研究者が約2時間で検知し、PyPIが隔離しました。**CVE-2026-45758（CVSS 9.6）**が割り当てられています。
- mistralai 2.4.6：Mistral AIの公式Python SDK。アドバイザリGHSA-wx9m-wx4f-4cmgによると5月12日（UTC 0時5分）から配布。716のパッケージが依存しています。
どちらもサプライチェーン攻撃で、GitHub上の正規コードは変更されておらず、改ざんされた版がPyPIに公開されました。
悪意あるコードの動作
- mistralai 2.4.6：Linuxでは
import mistralaiを実行するだけで、固定IPから第2段階（transformers.pyz）をTLS検証なし・出力なしでダウンロードし、バックグラウンドで実行しました。アドバイザリによると、この公開はPyPIのTrusted Publishingを回避しており、GitHubに対応するタグもありませんでした。分析では**「mini-shai-hulud」**キャンペーンとの関連が指摘されています。 - guardrails-ai 0.10.1：インストールまたはインポート時にコードが動き、ホスト上で任意のコードを実行できました。メンテナーは自社システム経由の情報流出は確認していないとしつつ、端末の認証情報は漏えいしたものとして扱うよう勧めています。
対策
- 開発端末、CI/CD、サーバー、ノートブックなどでmistralai 2.4.6やguardrails-ai 0.10.1をインストールしていないか確認する
- mistralai：2.4.5に固定するか、検証済みタグからインストールする。
/tmp/transformers.pyzの有無を確認する - guardrails-ai：0.10.2に更新するか0.10.0に戻す
- 影響を受けた端末では、GitHubトークン、クラウドの鍵、パッケージレジストリのトークン、LLMのAPIキーなど、アクセス可能な認証情報をすべて更新する。GitHubに不審なワークフローやリポジトリがないかも確認する
- 今後はバージョンを固定（ハッシュ付きロックファイル）し、パイプラインでバージョン指定なしの
pip installを避ける
なぜ重要か
AIプロジェクトにはAPIキー、クラウドの認証情報、学習データが集中しています。CIパイプラインでの1回のimportで、そのすべてが攻撃者に渡る可能性があります。
出典
- AI Threat Alert, GHSA-wx9m-wx4f-4cmg (mistralai 2.4.6): https://aithreatalert.com/cve/GHSA-wx9m-wx4f-4cmg
- OpenCVE, CVE-2026-45758 (guardrails-ai 0.10.1): https://app.opencve.io/cve/CVE-2026-45758
AIプロジェクトのサプライチェーンの安全性を見直しませんか。KGA ITでは無料相談を行っています：kga-it.com