セキュリティ
モデル提供元がMETRに無償で提供していたクレジットだった。実際の顧客であればこうはいかなかっただろう
人気記事
AIモデルのテストを手がける組織METRは、今年早くに発生した2件の攻撃を公表しました。そのうち1件では、攻撃者がAPIキーを盗み出し、3週間にわたって公開モデルのクレジットを約60万ドル分消費していたということです。
METR(Model Evaluation and Threat Researchの略)は、いずれの事案でも攻撃者が機密情報にアクセスした形跡はないとしており、両事案ともセキュリティ専門家とともに調査を行ったと述べています。
METRの研究者らはOpenAIと協力し、同社のエージェントがHugging Faceを攻撃した経緯を調査してきましたが、月曜日には自らのセキュリティ上の不手際2件を公表しました。
「2026年3月、攻撃者は公開モデルの推論用APIキーを盗み出し、大量のクレジットを消費しました」と、この非営利組織は月曜日に公開した報告書で明らかにしています。「2026年5月には、攻撃者が当社の公開インフラを組織的に調査していることを確認しました。誤って公開状態になっていたエンドポイントを通じて内部データにアクセスしようとする試みもありましたが、これは失敗に終わっています」
フェイルオープンのバグからモデルクレジット窃取へ
3月の事案には、機密情報――モデルデータや認証情報、さらにはモデルのアーキテクチャ、トレーニング内容、リリース日といった情報を含む――へのアクセス権を持たないMETRの研究者が関わっていました。この研究者は、個人所有のEC2インスタンス上で稼働するエージェントを使用しており、このインスタンスはGoogle認証の背後にありながら「意図的に」一般公開された状態になっていました。このインスタンスには、METRの公開モデル用アカウントのAPIキーが保存されていたのです。
METRの説明によれば、「vibeコーディングされたアプリ」に認証を無効化してしまうフェイルオープンのバグがあり、これによってシステムが数日間にわたりインターネット上に公開状態となっていたとのことです。
「攻撃者は、証明書の透明性ログなど最近登録されたウェブサイトの一覧を調べ、LLMやエージェントに関連する高シグナルなキーワードを含むvibeコーディング製サイトを見つけ出し、公開状態になっているモデル提供元のAPIキーを収集していたものと考えられます」と、このAI研究組織は記しています。
攻撃者は問題のアプリを発見すると、エージェントにモデル提供元のAPIキーを明かすよう指示を出し、さらに永続的なアクセスを維持するためSSHキーを追加しました。そしてその後3週間にわたり、盗んだ認証情報を使って公開モデルのAPIクレジットを消費し、その額は約60万ドル相当に上りました。METRにとって幸いだったのは、名前を明かしていないモデル開発元がこれらのクレジットを同組織に無償で提供していたことでした。
「大規模な不正利用」になぜ気づかなかったのか
METRは報告書の中で、誰もが抱くであろう疑問――なぜ研究者たちは「大規模な不正利用」に気づかなかったのか――にも答えています。
これにはいくつか理由があります。まず、モデルのテスト業務では通常から大量のトークンを消費する評価作業を頻繁に実行しているため、同組織は「奇妙なレート制限やAPIエラーが大量に発生することに非常に慣れきって」いました。そのため、利用量の急増もそれほど異常には見えなかったのです。
さらに、そのトークンは無料だったため、METR側に高額な請求が発生することもなく、当時は今回盗まれたようなキーに対して利用上限を設定する仕組みもありませんでした。
3月の事案を受けて、METRはセキュリティインフラ、プロトコル、レビュープロセスを改善したと述べており、今後もセキュリティへの投資を継続する方針です。そのための取り組みとして、セキュリティ責任者を新たに採用したほか、今後さらにセキュリティ担当スタッフを増員する計画だといいます。
フロンティアモデルへのアクセスをエージェントで試みた犯罪者たち
2件目の事案は5月上旬に発生し、「METRは持続的な外部攻撃キャンペーンの標的となりました」。
金銭目的とみられる攻撃者がフロンティアモデルへの不正アクセスを試みている可能性があるとの「情報提供」を受けたMETRは、侵入者が公開インフラを調査する様子を監視していました。攻撃者らはまた、初期アクセスの手段を探るためにエージェントを利用しており、その手口には自動化された脆弱性発見、認証プロバイダーに対するクレデンシャルスタッフィング、OAuthトークン付与の取得試行、新たにデプロイされたサービスのスキャン、フィッシングの試みなどが含まれていました。
これと時を同じくして、METRは意図せず「公開トランスクリプトビューアーを通じて読み取り専用のSQLクエリ機構を露出させて」いました。クエリは既定では公開データのみに限定されていたものの、あるバグにより未公開の評価データへのアクセスが可能になっており、「一部の機密モデルデータが誤ってこのデータベースに含まれてしまって」いました。しかし、このモデルテスト組織によれば、攻撃者がこの脆弱性を発見したり、非公開データにアクセスしたりした形跡はないとのことです。
この脆弱性は独立系のバグハンターによって発見され、METRに報告されました。METRはこの研究者に報奨金を支払い、当該APIをオフラインにしました。
これを受けてMETRは現在、社内インフラとは分離された、一般向けアプリケーション専用の独立した本番環境を使用していると述べています。®
