資格情報の傍で任意パッケージが動くこと自体が攻撃面である
汎用言語埋め込み型のIaCツールが得るパッケージエコシステムには、他のドメインでは生じない種類のコストがある。世界を変更する資格情報の傍でnpm / PyPIの任意パッケージが動くことは、それ自体が供給網攻撃の攻撃面である。
論点は「悪いパッケージが混入しうる」という一般論ではなく、被害半径の違いにある。通常のアプリケーション開発で依存パッケージが汚染されたとき、被害は「ビルドの汚染」に留まる。IaCの実行環境では、同じ汚染が「本番インフラの改変」に広がる。IaCツールは定義上、実インフラを作り替える権限を持った資格情報の文脈で走るからである。
これは汎用言語のエコシステムを「失ったもの」と数えない三つ目の理由になる。前二つ(判読性、有界な合成で足りること)がドメインの性質からの議論であるのに対し、これは実行文脈からの議論であり、エコシステムの利便性が高いほどコストも増える方向に効く。
根拠の確度
供給網リスクの論点は一般論であり、IaCツール経由の具体的な事故事例の調査はしていない。