BleepingComputer は 2026 年 6 月 17 日、Aikido Security が JetBrains Marketplace 上で連携した不正プラグイン 15 種以上を発見したと報じました。AI コーディング補助やコードレビュー、Git ユーティリティを装い、設定画面に保存された AI サービスの API キーを攻撃者制御のサーバーへ送信する仕組みでした。BleepingComputer も実際に DeepSeek AI Assist 最新版を解析し、認証情報の窃取コードが依然存在することを独自に確認しています。
主なポイント
- 15 種の悪性プラグインは 7 つのベンダーアカウントから公開されており、合計インストール数は約 7 万回
- 最も多くダウンロードされたのは「DeepSeek AI Assist」(27,727 回) と「CodeGPT AI Assistant」(25,571 回)
- 初期公開は 2025 年 10 月で、最新の追加公開は 2026 年 6 月 10 日と最近まで継続
- OpenAI / DeepSeek / SiliconFlow など複数の AI サービスの API キーが対象
- 一部プラグインは有料ティアを提供しており、無料ユーザーから盗んだ API キーを有料ユーザーへ再配布している可能性を Aikido が指摘
- 影響を受ける可能性のある開発者は当該プラグインを削除し、保存された AI サービスの API キーを直ちにローテーションすべき
出典: Malicious JetBrains Marketplace plugins steal AI API keys from developers (BleepingComputer)