フロンティアAIモデルのリスク評価を手掛けるセキュリティ非営利団体が今週、2件のサイバーセキュリティインシデントを公表しました。APIキーが漏洩した侵害と、非公開の評価データが露出しかねなかった別の脆弱性が含まれています。
METR(Model Evaluation and Threat Research)は8月31日、サイバー攻撃者から標的にされた2件のセキュリティインシデントを公表しました。今年3月には、攻撃者が公開モデルの推論に使われていたAPIキーを窃取し、METRがブログ記事で「相当量」と表現するクレジットを消費しました。さらに5月には、攻撃者が公開アクセス可能なインフラを探索する動きを確認しており、その中には「意図せず露出したエンドポイントを介して内部データにアクセスしようとした未遂の試み」も含まれていました。
METRは両インシデントを「ニアミス」と表現していますが、3月の事案は実際に侵害が成立しており、攻撃者はAPIキーを使ってシステムへの永続的なアクセスを確立し、数週間にわたって窃取した認証情報を悪用していました。いずれにせよ、METRはこれを受けてセキュリティへの投資を強化したとしています。
こうした広範な取り組みの一部として、セキュリティ責任者の採用(さらなるセキュリティ体制の拡充を予定)、攻撃対象領域を広げていたレガシーインフラの停止、定期的な脅威モデリングレビューの実施、ログ収集範囲の拡大、APIキーの異常利用の監視などが挙げられます。加えて、エンドポイントおよびサーバー向けのセキュリティソフトウェアを追加導入し、認証情報のローテーションを強化するとともに、「各種の権限スコープ」を縮小しました。
METRの2件のインシデント:3月と5月
今回公表された2件のインシデントは、いずれも同社が4つのカテゴリーに分類している企業データに関わるものです。
METRは企業データを4つのカテゴリーに分類しています。カテゴリー1は既に公開済みの情報、カテゴリー2は公開モデルに関する未公開の評価結果と、公開モデルへのアクセス権を付与するAPIキー、カテゴリー3は非公開モデルの評価結果や隠れた思考連鎖(chain-of-thought)データ、非公開モデルへのアクセス権を付与するAPIキーといった機密性の高いモデルアクセス情報、カテゴリー4は知的財産や事業データを含む極めて機密性の高い情報です。
3月のインシデントでは、カテゴリー3およびカテゴリー4のデータへのアクセス権を持たない研究者が、エージェントオーケストレーションツールを使って個人のAWSインスタンスにエージェントをデプロイしていました。このAWS EC2インスタンスには、METRの公開モデル用アカウントのAPIキーが含まれていました。バイブコーディングで作成されていたこのオーケストレーションツールには「フェイルオープン型の脆弱性が存在し、認証機能が気づかぬうちに無効化された結果、システムが数日間にわたってインターネット上に公開状態となっていました」。
METRの分析によれば、攻撃者は最近登録されたバイブコーディングによるウェブサイトを渡り歩き、露出している可能性のあるモデルプロバイダーのAPIキーを収集していたとみられています。攻撃者はこのシステムを発見すると、エージェントにモデルプロバイダーのAPIキーを開示させるよう仕向け、永続的アクセスのためにSSHキーを追加。3週間にわたって窃取した認証情報を使い続け、公開されているAIモデルのAPIクレジットを約60万ドル分消費しました。
METRによれば、アクセス権の失効、認証情報のローテーション、フォレンジック調査を実施したほか、従業員向けの展開ポリシーを強化(「特にMETR以外のインフラやデバイスにMETRの認証情報やデータを置くことに関して」)し、監視・アラート体制も改善したとのことです。
一方、5月のインシデントでは、METRは自社が金銭目的、あるいは先進的なAIモデルへのアクセスを狙う攻撃者から標的にされていることを当時把握しており、同団体はこれを「持続的な外部攻撃キャンペーン」と表現しています。攻撃者はエージェントを使って偵察や脆弱性発見を自動化しており、クレデンシャルスタッフィング、OAuth関連の攻撃、新たにデプロイされたサービスのスキャン、フィッシングの試みなどが含まれていました。
このキャンペーンの最中、METRは「公開トランスクリプトビューアーを介して、読み取り専用のSQLクエリ機構を意図せず露出させて」おり、これが別のバグと組み合わされれば未公開の評価データにアクセスされ得る状態でした。露出したデータの大半はカテゴリー2でしたが、脆弱性のあったデータベースには一部の機密性の高いモデルデータ(カテゴリー3)も含まれていました。この脆弱性は独立系の研究者が発見し、責任ある開示の手順に沿って報告したもので、METRはAPIをオフラインにするとともに、当該研究者に報奨金を支払ったとしています。
METRはブログ記事の中で、「攻撃者は広範なキャンペーンの一環として、このエンドポイントを一時的に探索していましたが、証拠を見る限り、彼らがこの脆弱性を発見したり、非公開データにアクセスしたりした痕跡は確認されていません」と記しています。
この事案を受けて、METRは公開向けサービスを一時的に停止し、公開システムと内部システムとの間のネットワーク分離を強化するとともに、追加のセキュリティテストを委託しました。
METRのインシデントが示すより広い意味
METRは近年、存在感を急速に高めている団体です。OpenAI、Anthropic、Google、Meta、Amazonといった、主要な欧米のAIモデルベンダーのほとんどと協業していることを発表しています。直近では8月26日に、Hugging Face/OpenAIの「暴走モデル」事案を深く掘り下げた調査結果を公表したほか、昨日にはAnthropicが、自社のエージェントを巡る同様のインシデントを受けて、独立した検証をこの調査団体と共同で進める方針を発表しています。このようにMETRはAIセキュリティのエコシステムにおいて重要な位置を占めており、同団体に関わるセキュリティインシデントは、いずれも綿密な検証に値するものです。
METRは、評価の過程でエージェントが第三者をハッキングした証拠は現時点で一切なく、また、エージェントが自社の評価システム自体をハッキングした証拠もないと強調しています。
Suzu Labsでセキュアなインフラソリューションおよびサイバーセキュリティを統括するシニアディレクター、Jacob Krell氏はDark Reading の取材に対し、METRが業界内で占める立場ゆえに、「数兆ドル」規模の価値を持つ最重要級の知的財産が、単一の非営利評価団体の管理境界の中に置かれることになると指摘しています。
Krell氏は次のように述べています。「METRはAI分野の中でも比較的セキュリティ成熟度の高い組織の一つで、SOC 2 Type I認証を取得し、専任のセキュリティコンサルタントを置き、4段階のデータ分類体系も整備しています。それでも今回のインシデントは、個人所有のクラウドインスタンスにおけるフェイルオープン型の認証不備や、本来もっと厳重に隔離すべきデータへの経路を意図せず作り出してしまった公開向けアプリケーションといった、ごくありふれたパターンを突かれる形で発生しました。これほど成熟度の高い組織でさえ、基本的なクラウド・認証情報の衛生管理の問題に足元をすくわれるということは、AI業界全体のセキュリティの『底』がどこにあるかを物語っているのであって、『天井』を示しているわけではありません」。
Krell氏は、評価団体はフロンティアAIのサプライチェーンの一部として扱われるべきであり、そのセキュリティ要件もそれを反映したものにすべきだと主張しています。「独立系のAI評価団体は、協業する研究所群のセキュリティ境界の一部になりつつあります」と同氏は説明しています。
METRはDark Reading のコメント要請に応じませんでした。
