AI 搭載エディタで開く前に、クローンしたすべてのサードパーティ製リポジトリで実行してください。

インストール

インストール不要 — npx を使用：

またはグローバルにインストール：

Node 20+ が必要です。

使用方法

失敗しきい値付き（CI 用）：

JSON 出力：

SARIF 2.1.0（GitHub code scanning 用）：

チェックの一部を実行：

全フラグ一覧：npx valtik-ai-ide-config-guard --help。

チェック

G1 — Claude Code フックがシェルを実行

.claude/settings.json を検出し、hooks.SessionStart / hooks.PostToolUse / hooks.PreToolUse / hooks.UserPromptSubmit（および関連するライフサイクルイベント）を解析します。いずれかのエントリが command 文字列（またはグループ化された文法内の type: "command"）を設定している場合、検出結果は CRITICAL です — Claude Code でリポジトリを開くと、開発者のシェル上で、その環境変数、SSH キー、トークンを使ってコマンドが実行されます。

G2 — ルールファイルの Unicode スマイグリング

以下をスキャンします：.cursorrules、.cursor/rules/*.md[c]、.windsurfrules、.windsurf/rules/*.md[c]、.github/copilot-instructions.md、.continue/*.md

• 双方向オーバーライド / 埋め込み / 分離文字（U+202A–U+202E、U+2066–U+2069）
• ゼロ幅文字（U+200B、U+200C、U+200D、U+2060、U+FEFF、U+180E、U+00AD）
• Unicode タグブロック（U+E0000–U+E007F）— 人間には見えないトークン密輸領域
• それ以外は ASCII の単語に混入したキリル文字ホモグリフ（а/е/о/р/с/х/у/…）
• 命令的なロールオーバーライドパターン（ignore previous、from now on、system: など）

純キリル文字のテキスト、絵文字、ファイル先頭の BOM は無視されます — 人間のレビュアーから内容を隠すものだけをフラグします。

G3 — MCP 自動登録

mcp.json、.mcp.json、.claude/mcp.json、.cursor/mcp.json、.windsurf/mcp.json、.vscode/mcp.json、.continue/config.json を解析します。登録された各サーバーについて：

• command が src/fixtures/known-malicious-mcp.json に一致 → CRITICAL
• command がローカルバイナリ → HIGH
• command が未検証のパッケージを取得する npx / uvx / pipx → MEDIUM
• url が HTTPS 以外 → MEDIUM
• url が localhost / LAN を指す → MEDIUM

G4 — VS Code タスクの自動実行

runOptions.runOn: "folderOpen" を持つタスクをフラグします。コマンドがシェル補間（curl | sh、wget | bash、eval、base64 -d、バッククォート、$(...)）を使用している場合、または外部 URL を参照している場合、深刻度が上がります。

G5 — API ベース URL のリダイレクト

.env*、.claude/settings.json、.cursor/config.json、.vscode/settings.json、および任意の mcp.json をスキャンします：

• ANTHROPIC_BASE_URL、ANTHROPIC_API_URL
• OPENAI_BASE_URL、OPENAI_API_BASE、OPENAI_API_URL

ホストが正規のベンダーエンドポイント（api.anthropic.com / api.openai.com）でない場合、検出結果は CRITICAL です — すべてのリクエストと API キーが攻撃者のエンドポイントに送信されます。クラウド以外のホスト（localhost、LAN IP）は HIGH としてフラグされます。

G6 — ワークスペーストラスト

security.workspace.trust.enabled: false（または Cursor の同等設定）を含む .vscode/settings.json をフラグします。これは、自動実行動作をブロックするネイティブのゲートを黙って無効化するものです。

G7 — ルール Markdown に埋め込まれたシェル

ルールの .md / .mdc ファイル内で、curl | sh、wget | bash、rm -rf、eval、base64 -d、python -c、/dev/tcp、リバースシェル mkfifo、chmod +x を含むフェンスコードブロックをスキャンします。周囲の文章が命令的（「これを実行」「次のコマンドを実行してください」）な場合、深刻度が上がります。

G8 — package.json のエージェントスクリプト

claude*、cursor*、windsurf*、mcp*、continue*、copilot*、aider*、cline* という名前のスクリプトに対する情報提供用フラグです。同じ名前が npm のライフサイクルフック（preinstall、postinstall など）と衝突する場合 HIGH です — ライフサイクルフックは npm install 時にユーザーの確認なしで実行されます。

CI 統合

GitHub Actions：

または SARIF アップロード：

制限事項

• 静的解析であり、シグネチャベースで保守的です。難読化されたペイロードや新しいベクターは見逃されます。test/fixtures/safe/ での誤検知ゼロが設計目標です — 境界線上のケースを見逃す方が、ユーザーに私たちを無視する習慣を付けさせるよりマシだからです。
• 何も実行または解決しません（npx のドライランも URL フェッチも行いません）。
• DoS を防ぐため、ファイル読み取りは 1 ファイルあたり 2 MB に制限されています。

参考

• CVE-2025-59536（Claude Code フック）
• CVE-2026-21852（Claude Code PostToolUse フック）
• CVE-2026-30615（Windsurf config-write RCE）
• Pillar Security — 「Rules File Backdoor」（2026）
• Valtik Studios — AI-IDE Security 2026（近日公開）

免責事項

このツールは静的解析です。クリーンなレポートは「このバージョンに同梱されている 8 つのチェックが発動しなかった」ことを意味するのであって、「このリポジトリが AI-IDE で開いても安全」という意味ではありません。自分が作成していないすべてのリポジトリを敵対的とみなし、ワークスペーストラスト、フックレビュー、MCP レビューを手動で適用してください。

MIT ライセンス — Copyright (c) 2026 Valtik Studios LLC.