中国製AIコードエディタ「TraeIDE」 個人情報を含むテレメトリーを勝手に送信：セキュリティニュースアラート
中国のテクノロジー企業ByteDanceの開発したAI統合型のプログラミングツール「TraeIDE」を調査した結果、テレメトリー設定を無効にしても通信が継続し、個人情報を含む大量のメタデータが送信されていることが判明した。
「GitHub」において、「TikTok」を運営する中国のテクノロジー企業ByteDanceの統合開発環境（IDE）「TraeIDE」に関する詳細な調査結果が公開された。
TraeIDEは「Visual Studio Code」をベースとしたAI統合型のプログラミングツールだが、ユーザー設定にかかわらず継続的に送信されるテレメトリーや、技術的指摘についてのコミュニティーの応答などが懸念されている。
TraeIDEの透明性に懸念 個人情報を含むテレメトリーが勝手に送信される
同調査は「Windows 11 Pro」環境下で実施され、同一のコードベースを複数のIDEで比較する形式を取っている。ネットワーク監視ツールとして「System Informer」および「Fiddler Everywhere」を使い、通信の挙動が記録されている。調査によると、設定画面からテレメトリーを無効化しても、次のようなByteDance関連ドメインへの通信が継続していることが確認されている。
- mon-va.byteoversea[.]com
- maliva-mcs.byteoversea[.]com
- mon-va.byteoversea[.]com/monitor_browser/collect/batch
無効化後もデータ送信が停止することはなく、特定のエンドポイントへのリクエスト頻度がむしろ増加する挙動が観測されている。使用中に最大で26MB相当のデータが短時間で送信されており、複数のイベント情報がまとめられたバッチ形式で送られていることが分かった。
テレメトリーの内容にはユーザーの利用状況や端末情報、操作内容など、詳細なメタデータが含まれており、次のような項目が確認されている。
- CPU名やメモリ容量、端末製造元といったハードウェア情報
- 使用中のファイル拡張子、エディタのフォーカス状況、作業時間などの操作履歴
- アプリケーションバージョンやOSバージョン、画面解像度、ブラウザ情報
- セッションID、デバイスID、ユーザーIDなどの一意識別情報
これらの懸念を開発元の公式「Discord」コミュニティーで共有しようとした際、「tracking」などの語句を含む投稿が自動で検閲対象とされ、発言者が一時的にミュートされる事例も報告されている。対象となったメッセージは一部ユーザーには閲覧可能な状態で残されているが、対応の透明性については議論の余地がある。
TraeIDEの今後の開発および運用において、設定と実態の一致、収集情報の透明性確保、技術的指摘への誠実な対応が求められる。ユーザー自身による独自検証も推奨されており、関連する議論の行方が注目される。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
ALSOKが攻撃者に？ 60年のノウハウを詰め込んだ新型物理ペネトレの中身に迫る
攻撃はサイバー空間だけで発生するとは限らない。従業員による情報の持ち出しやコピーといった内部不正から、侵入者によるシステムの破壊など物理的なセキュリティも見逃せない。こうした脅威に対処するために立ち上がったALSOKの新サービスの詳細に迫った。
全世界のPCの約4分の1が感染 悪夢のシナリオを回避する方法はあるか？
Munich ReとCyberCubeによる調査では世界規模のマルウェア攻撃が発生した場合、世界中のPCの約4分の1が感染することが分かった。悪夢のシナリオを回避する方法はあるのか。
セキュリティ軽視でIPO延期…… そのとき情シスは何ができたのか？
セキュリティ対策が進まない真因には、投資や人材不足、部門の地位向上など「政治力」の不足で生じる問題が多々存在します。この連載は情シスやセキュリティ部門が従来のコストセンターを脱して価値を発揮するためのアドバイスをお伝えします。
結局どうすればいい？ 二要素認証の安全神話を打ち砕くヤバイ攻撃を解説
「二要素認証を使っていれば安心」と思っていませんか？ 最新の攻撃が登場したことで実は今、その“安全神話”が崩れ、正しい対策をしているつもりでも突破される事例が多数報告されています。では、どうすればいいのかを筆者と共に考えましょう。