# AIコーディングエージェントの幻覚パッケージ対策

> AIコーディングエージェントが提案するパッケージ名は2026年調査でも4〜6%が実在せず、攻撃者はその名前を先回り登録して悪用します。ロックファイルと許可リストによる防御策を解説します。

- Canonical: https://kuucorp.com/blog/slopsquatting-ai-package-hallucination-defense-smb/
- Date: 2026-08-25
- Last modified: 2026-08-25
- Publisher: Kuu株式会社 (https://kuucorp.com)

---
Claude CodeやCursorのようなAIコーディングエージェントに実装を任せると、importやpip install・npm installのコマンドまで自動生成してくれます。ただし、その中に実在しないパッケージ名が紛れ込むことがあると聞いたら驚くでしょうか。専任のセキュリティレビュー担当を置けない中小企業ほど、この「幻覚パッケージ」をそのまま取り込んでしまうリスクを抱えています。

本記事では、2026年5月に公開された学術調査とOWASPの公式リスク分類をもとに、スロップスクワッティング（slopsquatting）と呼ばれる攻撃の仕組みと、開発チームがすぐに着手できる防御策を整理します。

## スロップスクワッティングとは何か

> スロップスクワッティングは、AIが幻覚した架空のパッケージ名を攻撃者が先回り登録し悪用する攻撃です。

「slop」（AIが生成する低品質な出力）と「typosquatting」（打ち間違いを狙ったドメイン先取り登録）を組み合わせた造語です。AIコーディングエージェントは同じ架空のパッケージ名を繰り返し提案する傾向があるため、攻撃者はその名前を先にnpmやPyPIに登録しておきます。開発者やAIエージェントが`npm install`や`pip install`を実行すると、意図せず攻撃者が公開したコードを取り込んでしまう構造です。ソフトウェアサプライチェーンのリスクとして、OWASPのLLMアプリケーション向けリスク分類でも「LLM03:2025 Supply Chain Vulnerabilities」に位置づけられています。

## AIエージェントはなぜパッケージ名を幻覚するのか

> 2026年の調査では主要5モデルの幻覚率は4.62〜6.10%、5モデル共通の幻覚127件中53件が登録可能でした。

2026年5月公開の調査（arXiv:2605.17062）は、Claude Sonnet 4.6・Claude Haiku 4.5・GPT-5.4-mini・Gemini 2.5 Pro・DeepSeek V3.2の5モデルに対しPython/JavaScriptの実装依頼19万9,845件を投げかけ、生成されたパッケージ名をPyPI・npmの正式リストと照合しました。個別モデルの幻覚率は4.62%（Claude Haiku 4.5）から6.10%（GPT-5.4-mini）に収まり、旧世代モデルの調査より改善はしているもののゼロにはなっていません。さらに5モデルすべてが同一に生成した架空パッケージ名が127件見つかり、うち53件は既存の防御を回避してなお登録可能な状態でした。モデルを跨いで同じ幻覚が再現される以上、複数のAIツールを併用すれば安全とはいえません。

## 中小企業の開発フローで何がリスクになるか

> 専任のセキュリティレビュー体制がない中小企業ほど、AI提案の依存関係をそのまま導入する運用が侵入経路になります。

多くの中小企業の開発現場では、AIエージェントが提案したコードをそのまま実行し、依存関係の追加もエージェント任せになりがちです。パッケージ名が実在するか、公開者が信頼できるか、ダウンロード数や更新履歴が自然かを確認するステップが抜け落ちやすく、攻撃者が登録した架空パッケージは正規品と似た説明文を用意することが多いため、コードレビューでも見た目だけでは気づきにくいという特徴があります。

## ロックファイルと許可リストでどう防ぐか

> ロックファイルでのバージョン固定と、社内プロキシレジストリでの許可リスト運用の2段構えが有効な防御策です。

すぐに着手できる対策は次の3つです。

1. **ロックファイルの必須化**: `package-lock.json`やハッシュ付き`requirements.txt`をCIで検証し、ロックファイルに存在しない新規パッケージの追加を差分レビューの対象にする
2. **AIエージェントの単独インストール権限を制限する**: パッケージのインストールをAIエージェントが単独で実行できないようにし、人間の承認かCIのゲートを経由させる
3. **許可リスト方式の社内プロキシレジストリ**: 新規パッケージは一度社内で登録・検証してからのみ利用可能にする。幻覚された名前は許可リストに存在しないため、そのままでは解決されない

これらは新しいツールを必要とせず、既存のCI/CDパイプラインの設定変更だけで着手できる点が中小企業に向いています。[エージェントガバナンス](/glossary/agent-governance/)の一環として、AIエージェントに与える権限を「コード生成」と「依存関係の確定」で分離しておくことが、幻覚パッケージのリスクを構造的に抑える鍵になります。

## 参考

- [The Range Shrinks, the Threat Remains: Re-evaluating LLM Package Hallucinations on the 2026 Frontier-Model Cohort](https://arxiv.org/abs/2605.17062)
- [OWASP Top 10 for LLM Applications 2025](https://owasp.org/www-project-top-10-for-large-language-model-applications/assets/PDF/OWASP-Top-10-for-LLMs-v2025.pdf)

## まとめ

AIコーディングエージェントが提案するパッケージ名は、2026年時点でも数%の確率で実在しません。攻撃者はその隙を突いてスロップスクワッティングを仕掛けます。専任のセキュリティ担当者がいない中小企業でも、ロックファイルの必須化・AIエージェントのインストール権限制限・許可リスト方式のプロキシレジストリという3つの対策は、既存のCI/CD基盤の設定変更だけで実装できます。AIコーディングエージェントの権限設計やサプライチェーン統制の進め方については、[Kuu株式会社](https://kuucorp.com/services/ai-ops/)にお問い合わせください。