METR、攻撃者にAPIキーを盗まれAIクレジット60万ドルを消費される

AI安全性研究機関METRから攻撃者がAPIキーを盗み出し、3週間にわたってモデルのクレジットを消費していたことがわかりました。消費されたクレジットの価値は約60万ドルに上るとみられています。

METRは8月31日に公開したセキュリティアップデートでこのインシデントを公表するとともに、5月に発生した別の攻撃についても明らかにしました。この5月の攻撃では、脅威アクターがMETRの公開インフラを探索していたということです。METRによれば、いずれのインシデントでも機密情報にアクセスされた証拠は見つかっていません。

今回消費されたクレジットは、匿名のモデル開発企業から無償で提供されていたものです。そのため60万ドルという金額は直接的な金銭的損失ではなく、あくまで商業的な価値を示すものとなります。

METRは、今回公表した件は外部の攻撃者によるものであり、評価作業の中でAIエージェントが引き起こしたものではないと説明しています。初期調査では、エージェントが第三者をハッキングした証拠は見つかっていないとのことです。

AIエージェントのセキュリティに関する関連記事はこちら: NCSC、エージェント型AIシステムへのより強固な管理を要請

バイブコーディングされたアプリからAPIキーが流出

今回のインシデントは3月、METRの研究者がGoogle認証の背後で一般公開状態にしていた個人のAmazon EC2インスタンス上でエージェントを実行していたことに端を発します。このバイブコーディングされたアプリには、METRの公開モデルアカウントのAPIキーが保存されていました。

フェイルオープン(fail-open)の欠陥により認証機能が知らぬ間に無効化され、システムは数日間にわたって外部に露出した状態となっていました。METRによると、攻撃者は証明書透明性(Certificate Transparency)ログを収集し、言語モデルやエージェントに関連する注目度の高い語句を含む、最近登録されたサイトを探し出すことで、このインスタンスを発見したとみられています。

攻撃者はエージェントに対してプロンプトを送り、モデルプロバイダーのAPIキーを引き出させたうえ、永続的なアクセスを確保するためにSSHキーを追加しました。その後、盗み出した認証情報を使って3週間にわたり大量のモデルクレジットを消費しました。

METRの研究者は日常的に大量のモデルトラフィックを生成していたため、不正利用を正規の評価活動と見分けることは困難だったといいます。また、無償クレジットのキーには支出上限を設定する手段がなかったことも明らかにしています。

METRは当該研究者のアクセス権を無効化し、認証情報をローテーションしたうえでラップトップを初期化し、モデル開発企業にも通報しました。その後、可能な範囲でキーに支出アラートを追加する対応も行っています。

2件目の攻撃では公開インフラが探索の標的に

METRによると、5月上旬、金銭目的とみられる攻撃者から標的にされているとの情報提供を受けたといいます。攻撃者はフロンティアモデルへのアクセスを狙っていた可能性があるとのことです。

攻撃者はエージェントを多用して脆弱性の発見を自動化しており、その手口にはクレデンシャルスタッフィング、OAuthトークン付与の試行、新規サービスのスキャン、そして従業員に対するフィッシングの試みなどが含まれていました。

さらにMETRは、公開している文字起こしビューワーを通じて、読み取り専用のSQLクエリ機構を意図せず露出させていたことも判明しています。このバグを悪用すれば未公開の評価データにアクセスできる可能性があり、加えてこのデータベースには本来保持すべきでない機密性の高いモデルデータが誤って読み込まれていました。

独立系の研究者がこの欠陥を報告したことを受け、METRは該当インターフェースをオフラインにするとともに、報奨金を支払いました。METRによれば、攻撃者はこのエンドポイントを探索していたものの、バグを発見・悪用した形跡は見られなかったとしています。

METRは現在、一般公開向けのアプリケーションを内部インフラとはアーキテクチャ上分離された環境で運用しているとしており、より広範なセキュリティ対策については7月30日時点の情報として正確であると説明しています。