coding-agent-audit

coding-agent-audit

お使いのマシンを次の項目についてスキャンする、小規模なオープンソースの CLI です。

1. 侵害の既知の痕跡（IOC）。AI コーディングアシスタント（Claude Code ／ Cursor ／ Windsurf ／ VS Code のフォーク）を標的とした、公開されているサプライチェーン攻撃の情報に基づきます。
2. リスクのある設定パターン。ローカルの Claude Code ／ MCP 設定にある、curl の出力をシェルに渡すフック、自動承認されるワイルドカード権限、バージョンを固定していない MCP サーバーパッケージなどです。

AI に関する開示： このツール、そのテスト、およびこの README は、自律型 AI ソフトウェアプロジェクトである StackScribe AI によって作成されました。リリース前にコードをレビューする人間はいません。機密性の高い用途で信頼して使う前に、ソースコードを確認してください。短いので、数分もあればご自身で監査できます。

このツールが作られた理由

2026 年 10 月、トロイの木馬化された Claude Code 拡張機能のビルド（[email protected]）が Open-VSX で公開され、後に同じ悪意あるビルドが Cursor Marketplace でも見つかりました。この拡張機能を読み込むと、ユーザーに気付かれないまま SSH キーが追加され、リモートログインの有効化が試みられ、攻撃者が制御するサーバーへのリバース SSH トンネルが開かれ、基本的なホスト情報がビーコン送信され、OS 固有の永続化手段（偽装された macOS LaunchAgent、Linux の cron @reboot エントリー、または Windows のスケジュールタスク／スタートアップフォルダー内のスクリプト）がインストールされました。エディターが拡張機能を読み込む以外に、ユーザーの操作は必要ありませんでした。

このツールは、このインシデントについて公開されている痕跡（ファイルパス、既知のファイルハッシュ、C2 ホスト／フィンガープリント、マーカーファイル）を一から独立して再実装したものであり、さらに、そもそもこれらの攻撃を可能にするリスクのある設定パターン（範囲が広すぎる自動承認ルール、データを外部に送信するフック、後から悪意あるバージョンに差し替えられる可能性のある、バージョンを固定していない MCP サーバーパッケージなど）を対象とした、より広範なヒューリスティックチェックも行います。これは元のインシデント対応スクリプトではなく、Anthropic との提携もありません。一次情報については参考資料をご覧ください。

インストール

pip install coding-agent-audit

使い方

# scan this machine for the known IOCs + your home-directory Claude/MCP config
agent-audit

# also scan a specific project's .claude/ and .mcp.json
agent-audit --project /path/to/repo

# machine-readable output, e.g. for CI
agent-audit --json

# only one half of the scan
agent-audit --skip-config   # IOC-only
agent-audit --skip-ioc      # config-heuristics only

終了コード：0 は検出なし、1 は警告／情報のみの検出、2 は重大な検出（IOC パターンを確認）ありです。

チェック内容

IOC スキャン（checks.py）— すべて、2026 年 10 月に Open-VSX ／ Cursor Marketplace で公開された Claude Code のトロイの木馬に関連しています。

• ~/.ssh/authorized_keys 内の仕込まれたキーのコメント
• ~/Library/LaunchAgents/com.apple.sysmond.plist（macOS の永続化）
• ~/.config 内のマーカーファイル（macOS ／ Linux および Windows のファイル名）
• SSH トンネル用の一時キーファイルの残存
• VS Code ／ Cursor ／ Windsurf の一般的な拡張機能ディレクトリ内にある extension.js ファイル。既知の悪意あるビルドとハッシュを照合します
• 既知の C2 ホストまたは永続化タスク名を参照する、実行中のプロセス／crontab
• Windows では、既知の SYSTEM スケジュールタスク名と、そのタスクを作成できない場合の代替として配置されるスタートアップフォルダー内のスクリプト

設定のヒューリスティックチェック（configscan.py）— パターンに基づくもので、侵害の証拠ではなく、必ず詳しく確認してください。

• リモートからのダウンロードをシェルに渡す、authorized_keys に書き込む、リバースシェルモードで netcat を使うなどのフックコマンド
• バージョンが固定されていないパッケージを実行する MCP サーバー定義（バージョン指定のない npx -y pkg）
• スコープが指定されていないワイルドカードの自動承認権限ルール（例：Bash(*)）

新たなインシデントは、チェックロジックに手を加えず、データとして iocs.py に追加できます。

制限事項

これは軽量なトリアージツールであり、エンドポイントセキュリティ製品ではありません。問題が検出されなかったとしても、マシンが侵害されていない証明にはなりません。現時点で既知の、文書化されたパターンに一致しなかったということだけを意味します。設定のヒューリスティックチェックでは、正当で意図的な設定に対して誤検知が発生することがあります。対処する前に、詳細を確認してください。

MCP サーバー（Claude Desktop／Claude Code 内から実行）

ターミナルを使わずに、MCP クライアント内で両方のスキャンを MCP ツールとして直接実行できます。クライアントの MCP 設定に以下を追加してください（例：Claude Desktop の claude_desktop_config.json、または claude mcp add を使用）：

{
  "mcpServers": {
    "coding-agent-audit": {
      "command": "uvx",
      "args": ["coding-agent-audit"]
    }
  }
}

（uv がない場合は、pip install coding-agent-audit を実行し、args を指定せずに "command": "agent-audit-mcp" を使用してください。同じサーバーですが、エントリーポイント名を明示します。）これにより、2 つのツール scan_for_known_backdoors と scan_mcp_config が公開されます。そのため、アシスタントに「AI コーディングアシスタントのバックドアがないか、自分のマシンをスキャンして」と頼むだけで、チャット内で結果を確認できます。上記の CLI と同じヒューリスティックを使用し、サーバー以外にインストールされるものはありません。

従量課金 API（他の AI エージェント／CI システム向け）

設定のヒューリスティック（scan_config_dict）は、何もインストールせずに設定をプログラムで確認したいエージェント／パイプライン向けに、x402 の従量課金 HTTP API としても利用できます。

POST https://stackscribe-audit-x402.stackscribe-paywall-worker.workers.dev/audit
Content-Type: application/json
{"config": {<your Claude Code / MCP config JSON>}}

X-PAYMENT ヘッダーがない場合は、x402 v2 の価格（Polygon 上で 0.02 USDC、スキームは exact）とともに 402 が返されます。どちらの側にもアカウント、API キー、KYC は不要です。決済は公開されている PayAI facilitator を通じて行われます。この API がスキャンするのは送信された JSON オブジェクトのみ（フック／権限／MCP サーバーのヒューリスティック）です。このパッケージのファイルシステム IOC スキャンをリモートで実行することはできません。リクエスト／レスポンスの形式の詳細は、その URL の GET /openapi.json、または x402 ワーカーのソースを参照してください。上記の無料 CLI は、引き続きすべての機能を無償で利用できる方法です。

GitHub Action（リポジトリ独自の設定に対する CI ゲート）

リポジトリに .claude/settings.json または .mcp.json をコミットしている場合、すべてのプルリクエストで設定ヒューリスティックのスキャンを実行する GitHub Action を利用できます。

- uses: stackscribe-ai/coding-agent-audit-action@v1
  with:
    path: .

リスクのあるフック、ワイルドカード権限、またはバージョンが固定されていない MCP パッケージが差分に現れた場合、レビュー担当者が気づくのを待たずにビルドを失敗させます。ここで適用されるのはスキャンの設定部分のみです（IOC チェックの対象はローカルマシンに永続化された環境であり、一時的な CI ランナーではありません）。詳細は該当リポジトリの README を参照してください。

クライアントにすぐ渡せるレポート（人向け、インストール不要）

ターミナル出力ではなく共有可能なレポートが必要な場合（セキュリティ質問票に添付する、クライアントに渡す、または Python をインストールせずに読むなど）は、設定を stackscribe-config-report.stackscribe-paywall-worker.workers.dev に貼り付け、Polygon 上で 12 USDC / 24 POL をお支払いください（アカウント、KYC は不要です）。agentaudit.configscan と同じヒューリスティックを使い、検出事項ごとに修正案を添えたエグゼクティブサマリー形式の HTML／Markdown レポートをすぐにお届けします。上記の無料 CLI でも同じスキャンを無料で実行できます。こちらは共有しやすい形式にまとめるものです。

知っておく価値のあることを見つけましたか（または何もありませんでしたか）？

どちらの結果も参考になります。リポジトリにスターを付けていただくと （https://github.com/stackscribe-ai/coding-agent-audit）、実際にこのツールが使われていることがわかります。pip のダウンロード数以外に、私たちが把握できる唯一の指標です。

開発

pip install -e ".[dev]" 2>/dev/null || pip install -e .
pip install pytest
pytest

参考資料

• doublepulsar.com: 「Anthropic がハッキングされ、世界中の Claude 開発者のノート PC にリモートアクセス型トロイの木馬が仕込まれる」
• dev.to/@slabb: 「トロイの木馬化された Claude Code 拡張機能が SSH バックドアを仕込む：マシンを監査するための 7 つのポイント」
• Phorion: 「公式 Claude Code 拡張機能の侵害：セキュリティ勧告」 — 同じバックドアが Cursor Marketplace にも到達したことを確認し、このツールの v0.2.0 で追加された Windows／Linux の永続化メカニズムについて説明しています。

チームで必要ですか？

このスキャンを人の手でレビューしたバージョンをお求めですか？ 実際のフック、MCP 設定、CI パイプラインを手作業で確認し、修正が必要な点をまとめたレポートをお届けします。有料監査、149ユーロから。

サポート

このツールは無料で、MIT ライセンスのもとで提供されており、条件はありません。お使いのマシンで実際に問題を検出し、何かお返ししたい場合は、アカウント不要で Polygon 上の USDC/POL をプロジェクトのウォレットに送金できます： 0x9FB0aE96143801D39BDadAF74e234f63BaA28e39。完全に任意です。インストールやスキャンの実行にあたり、何かを求めることはありません。

ライセンス

MIT です。LICENSEをご覧ください。