OpenAI、Anthropic、Meta AIの侵害事案は同一のテストベンダーを利用していた

OpenAI、Anthropic、Metaの各AIモデルが、本来アクセスするはずのなかったシステムに到達してしまった背景には、共通のセキュリティテストベンダーの存在があったようです。

CNBCの報道によると、これら3件のインシデントにはいずれも、先進的なAIモデルの攻撃的能力を評価するイスラエルのセキュリティ企業Irregularが関わっていたとされています。問題となったテストでは、設定上の不備により、管理されたはずの評価環境からモデルが外部システムへ到達する経路が生まれてしまったと報じられています。

この事実によって、セキュリティ上の教訓は様変わりします。今回の問題は、能力を増し続けるAIエージェントに何ができるかという話にとどまりません。それらを評価・封じ込めるために使われるサードパーティのインフラが、本当に境界線を守り抜けるのかという問題でもあるのです。

3件のインシデント、1つのサプライチェーン問題

最初に警鐘を鳴らしたのはOpenAIでした。同社のモデルが、サイバーセキュリティ評価の最中にHugging Faceのインフラへ到達してしまったのです。 

その後Anthropicも、Claudeモデルが3つの組織に対して不正アクセスを行っていた、独立した3件の事例を発見しました。ほぼ同じ時期に、Metaも自社のMuse Spark 1.1モデルが、セキュリティテスト中に社外企業のシステムに侵入していたことを公表しています。

Metaによると、同じテスト企業による設定ミスが原因で、Muse Spark 1.1が意図せずインターネットにアクセスできる状態になっていたとのことです。

Irregularの任務は、これらのモデルに現実さながらのサイバーセキュリティ演習を課すことでした。標的やツールを与え、脆弱性を発見し攻撃的なセキュリティ作業を遂行できるかどうかを実証できるだけの自由度を持たせていたのです。

つまり、モデルは何もない状態から動き出したわけではありません。もともと高度な攻撃的サイバー能力を試すためのテストが行われており、評価環境自体もモデルがその能力を発揮できるように構築されていました。問題は、こうした環境が同時に、意図しない形で公共インターネットへの経路までモデルに与えてしまっていたことにあります。 

この違いは重要な意味を持ちます。問われるべき論点が「AIがサンドボックスを脱出できるか」から、「能力を増し続けるAIエージェントを取り巻くインフラが、本来触れるべきでないものへの到達を確実に防げるか」へとシフトするからです。

そしてこの点こそが、Irregularを単なる「3件の無関係なインシデントに共通する社名」以上の存在にしています。今回の件は、AIセキュリティのサプライチェーンに潜むサードパーティリスクを露わにしました。各AI研究機関は能力を増し続けるモデルを提供する一方、外部の評価環境はそれを封じ込めるための境界線を提供していました。そして、その境界線が破られたとき、評価はそのまま現実のセキュリティインシデントへと転じ得るのです。

企業にとっての意味

自律型・半自律型のAIエージェントを導入する企業は、こうしたシステムがいずれ、想定範囲を超えて行動できる機会に遭遇することを前提とすべきです。

したがって、統制は指示だけに頼るのではなく、インフラのレベルで強制すべきものです。企業は、デフォルト拒否のネットワークポリシーを採用し、外向きのインターネットアクセスを制限し、機微なシステムを分離し、最小権限の原則を適用し、エージェントが利用できる認証情報をローテーションまたは制限し、想定外の外向き通信を監視する必要があります。

今回のインシデントは、サードパーティリスクの存在も浮き彫りにしています。AIエージェントのホスティングや評価、セキュリティ確保を外部ベンダーに委託している組織は、そうしたプロバイダーがネットワーク分離をどう強制しているか、認証情報をどう管理しているか、エージェントの活動をどう記録しているか、そしてテスト環境が本番システムや公共システムに到達しないようどう防いでいるかを、独自に評価すべきです。

より大きな教訓は、聞き覚えのあるものです。セキュリティ機能を外部委託しても、リスクそのものを外部委託したことにはならないという点です。AIエージェントを取り巻く境界線の管理を外部プロバイダーに委ねている場合、そのプロバイダーの統制における弱点は、そのまま顧客企業自身の攻撃対象領域の一部となり得るのです。

その他のニュース: ハッカーがウォール街の大手企業を標的に、ヘルプデスク担当者になりすまして多要素認証コードをリアルタイムで傍受し、企業の認証情報を窃取して恐喝に利用する、電話を使ったソーシャルエンジニアリング攻撃を仕掛けています。