Wiz、AI開発基盤9社の10月の事案を整理

クラウドセキュリティ企業のWizは10月30日、今月AI開発者向けプラットフォームで相次いで公表されたセキュリティ事案を束ねたレポートを公開し、これを「ブラック・オクトーバー」と名付けた。名前が挙がったのは9社で、Fireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode、Northflankである。

Wizの結論は見出しほど強くない。これらの事案を結び付ける単一の脆弱性や依存関係は見つかっていないとし、全体の様相が3つの傾向に合致すると述べるにとどまる。エージェント型の攻撃、他人のモデル利用枠を盗むLLMJacking、そして「蒸留」需要を背景に広がった認証情報の市場である。多くの事案はまだ分析中で、影響範囲に関する話の多くはSNS発のものだ。

攻撃者は環境変数を探していた

レポートが挙げる事案は、おおむね次のとおり。

AndromedaとNorthflankの詳細は、レポートではほとんど触れられていない。SNSではRailwayから約37.1万ドル相当の暗号資産が盗まれたと流れているが、Wizは未確認と注記している。

共通するのは、攻撃者がプラットフォームに保存された環境変数、とりわけAIサービスを呼び出せるものを狙って探していた点だ。標的がホスティングや開発基盤に集中する理由もここにある。1社を突破すれば、多数の顧客のキーがまとめて手に入る。

盗まれたキーの前後30時間

レポートで最も詳しいのは、下流での悪用2件の記録だ。2本の企業用キーはいずれも、ベンダーでの流出から30分以内に初めて使われた。住宅用IPからInvokeModelが発行され、1分のうちに複数組織のキーを走査し、Claude Fable 5.1を要求して失敗したのち、Opus 5.5にフォールバックして成功している。

その後は数日間の静穏期があり、同じ小さなGo製クライアントから1日14～120回の呼び出しがあっただけだった。Wizはキーがまだ有効かを定期的に確認していたものとみる。ケースAは4日待ったのち、スクリプトがBedrockとEC2のクォータを列挙し、22秒後に負荷を上げた。約30時間で約80万回の呼び出しがあり、約9割が成功、4分の3はOpusシリーズに向けられた。ケースBは7日待って転売プールとみられる場所に入り、約13時間で約170万回を呼び出した。成功は100万回を超え、十数種のClaudeモデルにまたがる。

この2本のキーは、定価ベースで10万ドルを超える利用額に達した可能性がある。これはWizの見積もりで、被害企業に実際いくら請求されたかは書かれていない。呼び出しの特徴も転売らしい。多くのリクエストはキャッシュされない入力が少量で、出力は数百トークンと、プロンプトキャッシュの形に合致する。一方、長い裾野のリクエストは数万トークンの入力を伴い、背後に多数のエンドユーザーがいるように見える。

格安中継APIの「仕入れ元」

中国語圏の開発者にとって、レポートで最も身近なのは転売の連鎖だ。Wizは2つの名前を挙げている。転売サイトllm-routing.comに関連する「momo」と、サイトがxingjiabiapi.orgの「Xingjiabi」である。どちらのIPも上記のケースのキーに接触しており、後者のサイトには「蒸留検知モニタリング」のページがあり、利用者を高リスク、要観察、通常の3区分に分けていた。

証拠はここまでだ。Wizは、転売組織と最初の侵入との関係は特定できず、momoの運用を大規模な悪用の波に直接結び付けることもできないと明記している。列挙された侵害指標も、9件の事案と関連付ける証拠はない。すべての中継サイトが盗まれたキーを使っているとも述べていない。それでも、極端に安いモデル利用枠の一部は出所に問題がある可能性があり、購入者が自分のプロンプトを素性の知れない中間業者に渡している恐れもあることを、レポートは示している。

レポート本文には防御のチェックリストはない。名前の挙がったプラットフォームを使っていたチームにとって、手っ取り早い対応は、そこに保存したモデルのキーをローテーションし、クラウドのログで見慣れないIPからの低頻度のInvokeModelがないか調べることだ。ケースBのキーはus.*プロファイルしか使えなかったが、それでも使えるモデルを見つけ出された。権限を絞っても、この種の悪用は防げず、範囲を狭められるだけである。

参考資料：Wiz Researchブログ、CocoLoop。費用はWizが定価ベースで見積もったもので、盗まれた金額の一部は未確認。