Post-mortem: Unauthorized Cline CLI npm publish on February 17, 2026｜Cline CLI、不正公開事件の事後報告 | AIニュース最前線

![image](https://storage.ghost.io/c/d6/fe/d6feb101-a8e6-444b-bae8-3ca714794abb/content/images/2026/02/incident-blog-header-hq.png) 2026 年 2 月 17 日午前 3 時 26 分（太平洋標準時）、不正な npm パブリッシュトークンが使用され、cline@2.3.0 が npm に公開されました。このパッケージには単一の改変が含まれており、追加された postinstall スクリプト（npm install -g openclaw@latest）によって、正当なオープンソースプロジェクトである openclaw がグローバルにインストールされる仕組みとなっていました。CLI バイナリおよびその他のパッケージ内容は、前回のリリースとバイト単位で完全に一致しており、悪意のあるコードは含まれていませんでした。 同日午前 11 時 23 分までに、修正版（バージョン 2.4.0）の公開、問題のある 2.3.0 の非推奨化、および侵害されたトークンの無効化を完了しました。影響を受けた期間は約 8 時間でした。 Cline VS Code エディター拡張機能や JetBrains プラグインには影響がありません。今回の事案は Cline CLI の npm パッケージに限定されていました。 ユーザーの皆様への対応策 Cline VS Code 拡張機能または JetBrains プラグインをご利用の場合、特別な対応は不要です。これらの配布経路は侵害されていません。 npm を通じて Cline CLI をご利用の場合は、以下のコマンドでバージョンを確認してください。 cline --version もしバージョンが 2.3.0 で、意図せず openclaw がシステムにインストールされている場合は、以下の手順で更新とクリーンアップを行ってください。 npm install -g cline@latest npm uninstall -g openclaw バージョン 2.4.0 以降は安全な状態となっており、各公開されたバージョンが特定の GitHub Actions ワークフロー実行およびソースコミットに紐付けられていることを示す OIDC 証明（provenance attestations）が含まれています。 cline@2.3.0 に何が含まれていたのか？ 私たちは、cine@2.3.0 と正規の cline@2.2.3 を完全に比較検証しました。 CLI バイナリ（dist/cli.mjs）は、cline@2.2.3 とバイト単位で同一です。SHA256 ハッシュも正確に一致しています。 その他のパッケージファイル（tree-sitter の .wasm ファイルや README など）もすべて同じ内容でした。 唯一の変更点は package.json だけで、バージョン番号が更新され、postinstall スクリプトが追加されたのみです："postinstall": "npm install -g openclaw@latest" openclaw は実際に存在する非悪意性のオープンソースプロジェクトです。今回のインストールは承認されたものでも意図されたものでもありませんでしたが、セキュリティ上のリスクはありません。 影響を受けた範囲は？ - Cline CLI の npm パッケージのみ（バージョン 2.3.0） - このバージョンをインストールしたユーザーのマシンには、openclaw がグローバルにインストールされました。 影響を受けなかった範囲は？ - Cline VS Code エディター拡張機能は一切侵害されていません。VS Code マーケットプレイスと OpenVSX のトークンは 2 月 9 日に適切に回転され、不正なバージョンがどちらのレジストリにも公開されることはありませんでした。 - Cline JetBrains プラグインも安全です。これは別個のリポジトリで管理されており、公開に必要な認証情報は今回の脆弱性を通じて一切漏洩していません。 - Cline のソースコードリポジトリも侵害されていません。脆弱性を突かれたワークフローは、コードをプッシュする権限のない一時的な環境で実行されていました。 悪意のあるコードがどのプラットフォームのユーザーにも配信されることはありませんでした。 ユーザーデータへのアクセスや不正な流出も発生していません。 どうやって起きたのか？ 2025 年 12 月 21 日、GitHub の Issue を自動的に仕分けする GitHub Actions ワークフローを導入しました。このワークフローは claude-code-action を使用し、`allowed_non_write_users: "*"` で設定され、Bash ツールへのアクセス権限も付与されていました。つまり、GitHub ユーザーなら誰でも Issue を作成可能で、Claude がそれを読み込んでシェルコマンドを実行する能力を持って分析するという状態でした。 これにより、プロンプトインジェクションの脆弱性が生まれました。攻撃者は、Issue のタイトルに特定の指示を仕込むことで、GitHub Actions ランナー上で任意のコード実行を Claude に誘発させることが可能になります。ワークフロー自体には制限があり（リポジトリは読み取り専用、Issue は書き込み可）、デフォルトブランチで動作していたものの、夜間のリリース用ワークフローとキャッシュのスコープが共有されていました。 GitHub Actions のキャッシュは、明示的にキャッシング機能を使っていないワークフローであっても、リポジトリ内のすべてのワークフローからアクセス可能です。キャッシュエントリ自体は不変ですが、仕分けワークフロー内でコード実行権限を得た攻撃者は、キャッシュを大量に書き込むことで正当なエントリを追い出すことができます（GitHub は 10GB を超えると即座に古いエントリを削除します）。その後、夜間リリース用ワークフローが期待するキーと一致する悪意あるキャッシュエントリを仕掛けることが可能になります。夜間のワークフローが実行されると、この汚染されたキャッシュが復元され、公開シークレットへのアクセス権限を持つワークフロー内で攻撃者がコードを実行できる状態になってしまいます。 セキュリティ研究者のアドナン・カーン氏は、この脆弱性を特定し、2026 年 1 月 1 日に GitHub Security Advisory を通じて報告しました。しかし、対応がなされるまでには時間がかかり、アドナン氏が 2 月 9 日に脆弱性を公に開示するまで放置されていました。 開示からわずか 30 分以内に、私たちは脆弱性のあるワークフローを削除し、認証情報のローテーションを開始しました。VS Code マーケットプレイスと OpenVSX のトークンは正常に更新されましたが、NPM トークンの更新には失敗しました。手順の最中に誤って別のトークンを削除してしまい、漏洩したトークンがまだ有効なまま残っていたのです。npm の組織レベルのトークン管理ページでローテーションを確認しましたが、そこではアクティブなトークンはゼロと表示され、漏洩したトークンの存在は確認できませんでした。 2 月 17 日、第三者はこの依然として有効だったトークンを利用して「cline@2.3.0」を公開し、その際に openclaw という postinstall スクリプトが実行されました。ただし、このペイロード自体は無害であり、CLI バイナリの改変や悪意のあるコードの導入を試みる動きはありませんでした。 なぜこれ以外に被害がないと判断できたのか？ 私たちは、暴露期間中（2025 年 12 月 21 日から 2026 年 2 月 17 日）にすべての配布チャネルで公開されたリリースを精査しました。 VS Code マーケットプレイスと OpenVSX については、この期間中に公開されたすべての拡張機能のバージョンやナイトリービルドを、リポジトリ内の git タグおよび対応する「Publish Release」や「Publish Nightly Release」という GitHub Actions ワークフローの実行履歴と照合しました。両レジストリ上のすべてのバージョンは、承認され監査可能な実行に遡ることができます。不正なバージョンがどちらのレジストリにも存在することは確認できませんでした。 npm：公開期間中にアップロードされたすべてのアーカイブをダウンロードし、対応する Git コミット時点のソースコードとファイル単位で照合しました。不正なバージョンは発見されませんでした。 JetBrains Marketplace：JetBrains プラグインは、本脆弱性を通じて漏洩したことがない独自の公開認証情報を管理する別リポジトリに存在します。完全性を確認するために監査を実施しましたが、公開期間中のすべてのバージョンに対応する Git タグと、正常に完了した GitHub Actions ワークフローが確認できました。不正なバージョンは見つかりませんでした。 ソースコードリポジトリ：公開期間中に cline リポジトリのメインブランチへ行われたすべてのコミットは、承認されたチームメンバーまたは外部コントリビューターによるものであり、プルリクエストを通じてレビューとマージを経た変更であることが確認できました。不正なコミットや強制的なプッシュ（force push）は見つかりませんでした。 再発防止策について 今回のインシデントにおける実際のユーザーへの影響は低く（悪意のないペイロード、短時間の公開期間、CLI 限定）、かつ公開認証情報が漏洩した事象自体を重く受け止めています。 すでに実施した対策： - AI を活用した自動トリアージワークフローを完全に削除しました。今後の自動化は読み取り専用操作に限定し、シェルへのアクセス権限を持たせない方針です。 - 公開認証情報を扱うすべてのワークフローから、GitHub Actions のキャッシュ機能を削除しました。 - すべての公開認証情報を更新（ローテーション）し、古いトークンを無効化しました。 npm の公開機能は現在、GitHub Actions を介した OIDC による証明情報のみを採用しており、長期有効な npm トークンは存在しません。公開されるすべてのバージョンには、特定のソースコミットとワークフロー実行を結びつける暗号化アテステーションが含まれています。 認証情報のローテーションプロセスでは、管理ダッシュボードの確認だけでなく、実際の認証情報に対する検証（失効テストや指紋の一致確認など）が必須となっています。 現在進行中の改善策は以下の通りです。 正式な脆弱性開示および対応プロセスを確立し、セキュリティ@cline.bot への監視と GitHub Security Advisories の活用を含む明確な SLA を設定しています。 第三者のセキュリティ企業と連携し、CI/CD インフラの監査を実施して、見落としがちなギャップを特定する作業を進めています。 すべての自動化認証情報の利用を見直し、より安全な代替手段を探るとともに、これらの認証情報を変更するための承認プロセスを更新しています。 今回のインシデントは、広範なツールアクセス権を持つ AI エージェントが CI/CD パイプラインに新たな攻撃経路を生み出す具体例です。信頼できない入力を処理する CI 環境で LLM にシェルアクセスを与えることは、事実上すべての GitHub ユーザーにシェルアクセスを付与することと同義です。 個別の手法（プロンプトインジェクション、キャッシュ汚染、認証情報の窃取など）自体は新しいものではありませんが、それらの組み合わせは新たな脅威であり、業界全体がまだその防御策を習得している最中です。 今回の CI/CD の脆弱性発見と報告に尽力されたアドナン・カーン氏に感謝いたします。攻撃の連鎖、キャッシュ汚染による権限昇格経路、そして毎夜実行されるワークフローにおける侵害指標（IOC）の特定など、氏の分析は非常に詳細かつ価値あるものでした。 今回の不正な npm パッケージ公開に関する GitHub セキュリティアドバイザリは以下の URL で確認できます。 https://github.com/cline/cline/security/advisories/GHSA-9ppg-jx86-fqw7 ご質問がある場合は、security@cline.bot までお問い合わせください。

Cline CLI、不正公開事件の事後報告

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト