急な増加はCLIツールの恩恵？
新しいプラグインやサンプリングライブラリーなど、積極的なチェックから若干距離を置きつつなのですが、今日なんかは気づけば巡回先の新着数がえらいことになってました。
Claude Codeなどを使用したプラグインの自作（DIY）が静かなブームになってる影響かななどと思うのですが、まあ実際のとこはよくわかりません。
以下、とりとめなく綴ります。
実際にプラグイン等を作るときのコストがかなり抑えられるとはいえ、あまりあちこちで大量に作られると自分が作ったものも埋もれてしまう、じゃあどうやって目立たせるのかなどといったことも考える必要があったりで、これもまた新しいエコシステムというか「場」なのだなと思ったり。
悪意のあるツールはありえるんだろうか
で、以前少し触れましたが、必ずしも便利で役立つもの、必ずしも画期的なものを作る目的で生まれたものばかりでなく、悪意を紛れ込ませたものもあるかしれない。
これまでうちで取り上げたものなんかは、ある程度うちの環境で試した上で記事にしてましたが、数が多いと手に負えないし、うちの環境とて惨事を迎えたくないなと思うのですね。人柱にも限度があります。
積極的なチェックから距離を置いたのは少し忙しくなっちゃったのと体調がよろしくないのもあるのですが、この辺り無駄に責任背負いたくないってのが少なからずあります。
とか思いつつ、Geminiと「どうなんだろうね」と対話していたところ、利用者側にとって懸念されるリスクとしては次のように挙げてくれました。
悪意あるプラグインで懸念されるリスク
資格情報（パスワード・APIキー）の盗掘
PC内のブラウザに保存されたパスワードや、他のプラグイン（iLokやアクティベーション管理ソフト）の認証情報を盗み出す。
暗号資産（仮想通貨）ウォレットの窃盗
クリエイター層に多いWeb3/NFT/暗号資産関連のウォレットファイルを探索・送信する。
バックドア（遠隔操作）の設置
外部のC2サーバーと通信し、PCを遠隔操作可能な状態にする。
オーディオセッションや素材の漏洩
未発表の楽曲データやマイク入力の音声を勝手に外部へ送信する。
「お、面白そうだぞ」と思ったものを導入するに際して、信頼する以外の配布者のものを直接ゲットしてその言われるがままにPCにインストールするのは、言うまでもなく危険ですよね。
大概の人は弁えてると思うのでそこまで心配してもいないのですが、ClickFixやFakeCaptchaのような手法に釣られる人も決していないではないし、（自分もここんとこかなり気をつけてるけど）忙しいときこそ油断してしまったりします。
そうなってくると、CLI等を通じて作成された魅力的なツールが山ほどあっても、やっぱり代理店や正規の（何らかの）ストアで扱われるものを選ぶほうが安全かなという気がします（彼らが動作の安全性をきちんと確認していればですが）。
あるいは、信頼できる誰かが人柱になってくれる、もしくはそういった情報を交換できる信頼できるコミュニティ経由とか。
最低限、OSの警告を無視しないこと
あとは利用者側で、OSのセキュリティ機能をバイパスするようなインストール操作をしないのは最低限でしょうかね。
現実的にOSレベルのセキュリティを突破するような仕組みを備えさせるのは難しいので過度に警戒する必要はなさそうですが、ソーシャルエンジニアリングを併用してくるタチの悪いのもいるかもしれませんので、一定の警戒は持っておいたほうがいいんでしょう。OSのセキュリティを手動で解除させてくるようなものは使わない、ってのが現実解ですかね。
余談
ちなみに、作る側が鼻歌交じりに（実際にはそんな簡単じゃないと思うが）開発したとして、既存の何らかの権利を侵害するリスクはないかというと、ないでもないらしい。
たとえばライセンス表記すべきところを取りこぼしてしまったり、音響処理に関するアルゴリズムで特許を侵害してしまうリスクがあるとのこと。あと商標の侵害とかね。
この辺りは、生成AIを使う場合もそうだけど結局のところそれを利用する人の責任になってくるんで、挑むなら一念発起が必要そう。
自分の場合は、挑むとしてもよほどじゃなきゃ配布しないかな。